İhbarcıya göre Microsoft güvenlik yerine kârı önceliklendirdi
(propublica.org)- Eski Microsoft çalışanı Andrew Harris, 2016’da AD FS’deki Golden SAML açığını keşfettikten sonra yıllarca müdahale talep ettiğini, ancak şirketin derhal düzeltmek yerine yalnızca uzun vadeli alternatiflerden söz ettiğini iddia ediyor
- Bu açık, AD FS sunucusunun özel anahtarı ele geçirildikten sonra sahte token’larla bulut hizmetlerine normal kullanıcı gibi erişilmesini sağlıyor; denetim günlüklerinde az iz bırakıyor ve çok faktörlü kimlik doğrulamayı da atlatabiliyor
- Harris’in önerdiği seamless SSO’yu devre dışı bırakma adımı; federal hükümet müşterilerinin yaşayacağı rahatsızlık, Pentagon bulut sözleşmesi, Okta ile rekabet ve kullanıcı deneyiminin bozulacağı endişeleriyle çatıştı
- 2020’deki SolarWinds saldırısının ardından Rus hacker’lar bu zayıflıktan yararlanarak National Nuclear Security Administration, NIH, Treasury Department gibi kurumlardan hassas veriler topladı; Microsoft daha sonra Microsoft 365 müşterilerine AD FS’de seamless SSO’yu devre dışı bırakmalarını önerdi
- Microsoft müşteri korumasının en yüksek öncelik olduğunu ve güvenlik konularını defalarca değerlendirdiğini söylese de eski çalışanların ifadeleri güvenlik kültürü ile iş önceliklerinin çatıştığı bir vakayı ortaya koyuyor
AD FS’de keşfedilen Golden SAML açığı
- Andrew Harris, Microsoft’ta hassas müşterilerin hack vakalarına müdahale eden gizli ekip Ghostbusters bünyesinde çalıştı; 2016’da büyük bir ABD teknoloji şirketine yönelik ihlali araştırırken AD FS sorununa odaklandı
- AD FS, kullanıcıların bir kez oturum açtıktan sonra iş amaçlı birden çok programa erişmesini sağlayan ve milyonlarca kişi tarafından kullanılan bir üründür
- Harris’in tespit ettiği temel risk, SAML tabanlı kimlik doğrulamada saldırganın meşru bir çalışan gibi davranarak bulut tabanlı programlara erişebilmesiydi
- Saldırgan önce on-premises sunuculara sızar, ardından AD FS sunucusundan özel anahtarı çıkarır
- Sonrasında token sahteciliği yaparak yüksek yetkili bir kullanıcı gibi görünebilir
- Oturum açma bilgileri normal göründüğü için standart denetim günlükleriyle tespit edilmesi zordur
- Harris, bu sorunun yalnızca Microsoft Azure’u değil Amazon gibi başka bulut sağlayıcılarını kullanan kuruluşları da etkileyebileceğini düşündü
“security boundary” ve MSRC’nin değerlendirmesi
- Harris, sorunu Microsoft Security Response Center’a, yani MSRC’ye bildirdi; ancak MSRC bunun düzeltme kapsamına girmediğine karar verdi
- MSRC, saldırganın önce on-premises sunucuya erişmesi gerektiği için güvenlik sınırının bu nokta olduğunu, sonrasında buluta geçiş meselesinin ayrı bir güvenlik sınırı sayılmadığını değerlendirdi
- Eski MSRC çalışanları, o dönemde merkezin personel yetersizliği içinde çok sayıda açık bildirimini ele aldığını ve “won’t fix” sonucuna varan bir kültür bulunduğunu söylüyor
- Bu kişiler, “security boundary” ifadesinin o dönem net biçimde tanımlanmadığını ve Microsoft’un düzeltme yapmamak için sıkça kullandığı bir gerekçe olduğunu hatırlıyor
- Bill Gates 2002’deki notunda yeni özellik ekleme ile güvenlik sorunlarını çözme arasında kalındığında güvenliğin seçilmesi gerektiğini yazmıştı; ancak eski çalışanlara göre zamanla MSRC’nin etkisi zayıfladı
Geçici çözüm iş mantığıyla çatıştı
- Harris, uzun vadeli düzeltmenin zaman alabileceğini düşünerek geçici çözüm olarak seamless single sign-on(SSO) özelliğinin devre dışı bırakılmasını önerdi
- Bu özellik, kullanıcıların bir kez oturum açınca on-premises sunuculara ve çeşitli bulut hizmetlerine erişebilmesini sağlayan Microsoft’un kolaylık işlevidir
- Harris’e göre ürün sorumlusu Mark Morowczynski, açığın duyurulmasının saldırganlara ipucu verebileceğini ve federal hükümet müşterileri için büyük rahatsızlık yaratabileceğini söyleyerek karşı çıktı
- Federal hükümet çalışanlarının kurallar gereği akıllı kartla oturum açması gerekiyordu
- Harris, seamless SSO kapatılırsa bulut erişimi sırasında ikinci bir oturum açma gerekeceğini ve bu süreçte zorunlu akıllı kartların kullanılamayacağını açıkladı
- Pentagon’un büyük bulut sözleşmesi ve Okta ile rekabet de karşı çıkış gerekçeleri arasında anıldı
- Microsoft o dönemde Okta ile rekabet ediyordu ve seamless SSO, Microsoft’un rekabet avantajlarından biriydi
- Harris’in önerisi kullanıcıların iki kez kimlik doğrulamasını gerektiren bir sürtünme yaratıyordu ve ürün stratejisiyle çatışıyordu
- Harris, Morowczynski’nin bu kararı teknik değil iş kararı olarak nitelendirdiğini hatırlıyor
Dış güvenlik şirketlerinin uyarıları
- CyberArk, 2017’de bu tekniği Golden SAML diye adlandıran bir blog yazısı ve kavram kanıtı yayımladı
- Brad Smith daha sonra Senate Intelligence Committee’ye verdiği yazılı yanıtta, Microsoft’un bu sorundan 2017’deki CyberArk açıklamasıyla haberdar olduğunu yazdı
- CyberArk’tan Lavi Lazarovitz, kamuya açıklama öncesinde bu sorunu birden çok şirketten güvenlik araştırmacısının yer aldığı kapalı bir WhatsApp sohbetinde paylaştıklarını ve Microsoft araştırmacısının da grupta bulunduğunu söyledi
- Harris, CyberArk açıklamasının ardından sorunun daha acil hale geldiğini düşünerek konuyu ürün grubuna ve MSRC’ye yeniden taşıdı; ancak MSRC’nin önceki tutumunu koruduğunu söyledi
- 2019’da Mandiant araştırmacıları, Almanya’daki bir konferansta AD FS’e sızarak bulut hesaplarına ve uygulamalara erişme yöntemini gösterdi ve araçları da yayımladı
- Mandiant, sunumdan önce Microsoft’u bilgilendirdiğini açıkladı
- Bu, yaklaşık 16 ay içinde dış bir şirketin Microsoft’u SAML sorunu hakkında bilgilendirdiği ikinci vakaydı
Harris’in müşteri uyarısı ve NYPD vakası
- Harris, 2019’da LinkedIn’de AD FS kimlik doğrulama ilişkisini anlamayan bir tanıdığı olanların kendisiyle iletişime geçmesini isteyen türde dolaylı bir uyarı yayımladı
- Mevcut ilişkileri olan müşterileri doğrudan risk konusunda bilgilendirmeye çalıştı; bunlardan biri New York Police Department idi
- Harris, NYPD’nin BT sorumlusu Matthew Fraser’a AD FS zayıflığını anlattı ve seamless SSO’nun devre dışı bırakılmasını önerdi
- Fraser bu toplantıyı doğruladı ve SAML zayıflığının korunması ve yalıtılması gereken bir alan olarak belirlendiğini söyledi
- Harris, Ağustos 2020’de Microsoft’tan ayrılıp CrowdStrike’a geçtiğini ve çıkış görüşmesinde de SAML zayıflığını yeniden gündeme getirdiğini söyledi
Çok faktörlü kimlik doğrulamayı atlatma ve SolarWinds saldırısı
- Harris, 2018’de bir meslektaşıyla konuşurken sahte token’a sahip bir saldırganın çok faktörlü kimlik doğrulamayı da atlatabileceğini öğrendiğini söyledi
- Sorun, ek güvenlik adımları bulunsa bile sahte token varsa saldırganın bunların tamamını geçebilmesiydi
- 2020 sonunda SolarWinds saldırısı kamuya açıklandı ve ABD hükümeti, olayla Rusya devlet destekli hacker’ların bağlantılı olduğunu bildirdi
- Saldırganlar SolarWinds yazılım güncellemesine kötü amaçlı kod yerleştirerek ağlara arka kapı erişimi elde etti; ardından Golden SAML gibi sızma sonrası açıklardan yararlanarak bulut verilerini ve e-postaları çaldı
- Saldırganlar, Harris’in işaret ettiği zayıflığı kullanarak birden çok kurumdan hassas veri topladı
- National Nuclear Security Administration
- National Institutes of Health
- Treasury Department’a ait çeşitli e-posta hesapları
- O dönemde CISA’dan Brandon Wales, kurbanların neredeyse üçte birinin SolarWinds yazılımı kullanmadığını söyledi
- Microsoft da ihlal edildi ve saldırının hemen ardından Microsoft, Microsoft 365 müşterilerine AD FS ve benzeri ürünlerde seamless SSO’yu kapatmalarını önerdi
Microsoft’un kamuya açık tutumu ve sonraki adımlar
- Microsoft President Brad Smith, 2021’de Kongre’de SolarWinds saldırısında kötüye kullanılan bir Microsoft ürünü veya hizmeti açığı olmadığını söyledi
- Smith, Golden SAML’in Microsoft’un tespit ettiği 60 vakanın %15’inde kullanıldığını açıklarken, verileri gözlemlenen veya çalınan mağdurların bununla sınırlı olmadığını da kabul etti
- Smith, kuruluşlar Microsoft Defender gibi antivirüs ürünleri satın alıp cihazları Intune ile korumak dahil çeşitli önlemler almış olsaydı zararın neredeyse hiç yaşanmayacağını söyledi
- SolarWinds sonrasında Microsoft, SAML riskini azaltmaya yönelik adımlar attı; hack etkilerini verimli biçimde tespit eden özellikler ise ücretli ek ürün Sentinel içinde yer aldı
- Microsoft, blogunda bu tür tespit eksikliğini “blind spot” olarak tanımladı
Microsoft’un yanıtı ve güvenlik kültürü tartışması
- Microsoft, Brad Smith dahil üst düzey yöneticileri röportaja çıkarmadı; ancak ProPublica’nın araştırma bulgularını da reddetmedi
- Şirket yazılı yanıtında müşteri korumasının her zaman en yüksek öncelik olduğunu, güvenlik müdahale ekibinin tüm konuları ciddiyetle ele aldığını ve manuel değerlendirme ile mühendislik ve güvenlik iş ortaklarının incelemesinden geçirdiğini belirtti
- Microsoft, potansiyel tehditleri değerlendirirken müşterilerde kesinti olasılığını, kötüye kullanım ihtimalini ve mevcut azaltıcı önlemleri dikkate aldığını açıkladı
- 2023’te Çin hükümetiyle bağlantılı hacker’ların Microsoft güvenlik kusurlarından yararlanarak üst düzey ABD yetkililerinin e-postalarına eriştiği olay da House Homeland Security Committee tarafından soruşturma konusu oldu
- Cyber Safety Review Board, bu olaya ilişkin incelemesinde Microsoft’un güvenlik kültürünün yetersiz olduğuna ve kapsamlı biçimde elden geçirilmesi gerektiğine karar verdi
- Satya Nadella, kurul raporunun ardından çalışanlara güvenlik ile başka öncelikler çatışırsa güvenliği seçmelerini söyledi
Bulut işi rekabeti ve sonuçlar
- 2014’te CEO olan Satya Nadella, Microsoft’un geleceğini Azure bulut işine bağladı; o dönemde Azure, Amazon’un oldukça gerisindeydi
- Microsoft, kurumsal ve kamu müşterilerine on-premises sunucuların bir kısmını korurken bilişimin çoğunu buluta taşıyan hibrit bulut stratejisini önerdi
- Güvenlik, bulut satışının temel argümanlarından biriydi; yamalar ve güncellemelerle özel güvenlik personelinin ilgilenmesi avantaj olarak sunuldu
- Harris ve eski çalışanlar, Pentagon’un büyük bulut sözleşmesinin ve Azure büyüme baskısının ürün ekiplerinin karar alma süreçlerini etkilediğini söylüyor
- Microsoft sonunda Amazon, Google ve Oracle ile birlikte Defense Department’ın çok yıllı, milyarlarca dolarlık bulut işinin bir bölümünü aldı
- SolarWinds’in duyurulmasından sonra Microsoft hisseleri %106 yükseldi; Azure ve ChatGPT gibi yapay zeka ürünlerinin başarısı bunun başlıca nedenleri olarak gösterildi
- Morowczynski’nin 2017’de Harris’e sözünü ettiği AD FS’nin yerini alacak uzun vadeli ürün, 2022’de sunulmaya başlandı
1 yorum
Hacker News yorumları
Çözüm, organizasyon içinde tam anlamıyla zero trust uygulamak ve ağa güvenmemektir. İç ağ da dış ağ gibi, yani düşmanca bir ortam gibi ele alınmalı
Google, BeyondCorp ile zero trust’ı yaygın biçimde benimseyen ilk örneklerden biriydi ve Aurora’dan sonra Google içinde organizasyon ihlali yaşanmadığını düşünüyorum
Tam yönetilen endpoint’ler, güçlü endpoint hardening, tüm organizasyon kaynaklarının envanteri, cihaz başına sertifikalar ve kullanıcı başına kaynak erişimini değerlendiren bir erişim denetim listesi motoru gerekir
Çalışma saatleri gibi sezgisel ölçütlerle anormallikler de tespit edilebilir; Google’ın dahili uygulamalarının tamamı internete açıktır ve SSO portalına yönlendirilir ama gerçekte içeri girilemez. Bu güvenlik sorunlarının önemli bir kısmı zaten çözüldü, geriye uygulamak kalıyor
Büyük organizasyonların çoğu onlarca yıldır iç ve dış teknolojileri üst üste yığdı; eski sistemler fiilen sahipsiz bırakılmış durumda ve satın alma-birleşmeler ile departmanların araç seçme özgürlüğü yüzünden büyük bir heterojenlik var
Zero trust’a geçmek için büyük ölçekli migrasyon, inatçı BT sorumlularını ikna edecek “eğitim” ve Google tarzı merkezi modele geçiş gerekir
İlk ikisi bütçe alsa bile üçüncüsü çok pahalı olabilir. Google’ın pek çok şeyi sonlandırmasının nedenlerinden biri de merkezi modelde sürekli migrasyon ve kırıcı yükseltmeler yapmak zorunda olması
Bir startup’ta müşterilere bu iyi uygulama temelli tekdüzeliği sunmak isteyebilirsiniz; ama bir gün müşteri “zero trust’ı kapatıp IP allowlist kullandırın” diye talep edebilir. Büyük bir sözleşme için bunu kabul edip etmeyeceğinizi düşünmek zorunda kalabilirsiniz; ayrıca sırf zero trust’ı olmayan bir şirketi satın alıyorsunuz diye satın almayı iptal edemezsiniz
Aksine çoğu için aşırı zor görevler sayılır ve “baykuşun tamamını çizmeniz yeterli” türü bir cevap gibi duyulur. Örneğin 22 bin çalışanı olan ABD’nin en büyük halı ve zemin kaplaması üreticisi Shaw Industries’in bunu yaptığını hayal edin
Mutlak biçimde “güvendeyiz” tavrına girerseniz ihlalleri hararetle aramazsınız ve sonunda bir gün gerçekleşecek ihlali kaçırırsınız
Zero trust bir felsefedir ve oldukça iyi bir felsefedir, ama kendi başına çözüm değildir. Mutlak çözümden ziyade bir felsefe ve iyi uygulamalar bütünü olarak düşünmek daha doğru
Bu tür bir mimarinin her şirkete uygun olduğunu düşünmüyorum. Yazılım dışı teknoloji şirketlerinin çoğu basit sosyal mühendislik, oltalama e-postaları, kimlik bilgilerini üçüncü taraflara kaptırma gibi sorunlardan zarar görüyor; ekonomik casusluk da büyük bir tehdit
Google’ın, içeriden bilgi sızdıranlar veya yönetimin vizyonuyla çatışan aktivist gruplar gibi başka güvenlik kaygıları da olabilir ve bu yapı o tür sorunlara uygun olabilir. Ama bu, her şirketin tehdit vektörlerinin aynı olduğu anlamına gelmez
Güvenlik sorunları çözülebilir, ancak gerekli altyapı önemsiz değildir ve birçok mühendislik yazılım yığını üçüncü taraf kimlik doğrulamayı hiç desteklemez
Geliştiriciler, yazılım geliştiricisi olmasalar bile çoğu zaman “yönetilen endpoint” fikrine mesafeli durur. Google’da işe yarar ama daha çok özel bir vaka; pratikte makul ağ segmentasyonu çok daha etkili olabilir
Güvenlik ile kâr arasındaki teşvik uyumsuzluğunu özellikle halka açık şirketlerde, devasa bir kültür değişimi olmadan düzeltmek zor. Böyle bir değişimi neyin tetikleyebileceğini de bilmiyorum
Çeşitli rollerde siber güvenliği yan sorumluluk olarak üstlendim ama tam zamanlı olarak o alana geçmememin nedeni sektörde bizzat gördüklerim. Gerçek iyi güvenlik uygulamalarından çok uyumluluğa ezici biçimde odaklanılıyor; o standartlar da ya yetersiz ya da zayıf uygulanıyor
Kültür değişimi gerekiyor ama bunun müşteri tarafından gelmesi gerektiğini düşünüyorum. Tüketiciler için zor olsa da kurumsal müşteriler güvenliği doğru değerlendirir, bağlayıcı güvenceler ister ve satın alma kararlarını buna göre verirse sektör tepki verecektir
Elbette Microsoft masaüstü pazarına o kadar derin yerleşmiş durumda ki bu yöntemin tamamen etkili olması zor
Ancak bu aynı zamanda güvenliği önemseyen bir kültür değişimi olmadığı için verilen doğrudan bir tepki. Güvenlik ekiplerinin genellikle yalnızca iki seçeneği vardır
“Güvenlik önemli, o yüzden güvenli ürünler yapalım” diye savunup alaya alınmak ya da denetçilerin talep ettiği uyumluluğu öne sürerek şirketi güvenlik yönünde azıcık da olsa hareket ettirmek
Bireyler de bazen güvenlik yerine parayı seçer. Hükümet de daha yüksek maliyet ve daha düşük verimlilik yerine daha üretken bir iş gücünü seçmiş gibi görünüyor
Şirketler devlete satış yaptığında kazanılabilecek para ve PR etkisi o kadar büyük olur ki rahatsız edici gerçekleri saklama teşviki doğar. Aklıma belli bir uçak üreticisi geliyor
Biraz utanç verici şeyleri saklama düzeyinden devasa, sistematik ve kasıtlı dolandırıcılığa kadar, zamanla tüm yelpazeye yayılabilir
Lider “güvenliği/kaliteyi önceleyin” deyip bunu fiilen ödüllendirmiyorsa zemin zaten hazırlanmış demektir
Her gün para hedefleriyle ödüllendirip ya da cezalandırırken, arada yakalandığında yalnızca bir iki alt düzey çalışanı cezalandırıyorsa şirketin ciddiye aldığı şey güvenlik/kalite değil, paradır
Hedefe ulaşmak için teşvik vermek gerekir. Satış streslidir ve kolayca işten çıkarılabilirsiniz ama başarılı olursanız büyük para kazanırsınız. Güvenlikte ise başarılı olsanız sadece işten atılmazsınız; başarısız olursanız atılırsınız
İyi güvenlik çalışmasının sonucu ihlal, felaket, kargaşa olmayan “hiçbir şey olmaması”dır; bunu ölçmek de zordur. Yokluğu nasıl sayısallaştıracağınız meselesi
Sonuçta satışta havuç çoktur, sopa herkesle aynıdır; güvenlikte ise havuç yoktur, sadece sopa vardır ve o sopa çivili bir beyzbol sopası da olabilir. Cevabın kültürde olduğunu, kültür değişiminin de en zor şey olduğunu düşünüyorum
Satışın güvenliği dert etmesini beklememek gerekir; satışın odağı büyüme olmalıdır. Sorun, güvenlik düzeltmelerinin yeni özelliklerden önce gelmesi gerektiğini söyleyebilecek “hayır” deme yetkisini ve alanını karşı tarafa vermemekte
Büyüme teşviki alan bir proje yöneticisi öncelikleri belirlerse doğal olarak güvenlik yerine büyümeyi seçer
Güvenlik ekibinin sorunu bilmemesi değil; düzeltmelerin öncelik olmaması ve kültür ile süreçlerin iki taraf arasında denge kuramaması
Devlet tarafında da, en azından bireysel karar vericinin kariyeri açısından, sözleşmenin gerçekleşmesini istemek için ciddi teşvikler var
İki taraf da anlaşmanın yapılmasını istiyor ve son kullanıcı emeklilikten önce fark etmediği sürece kusurları saklama motivasyonuna sahip
Satya Nadella’nın “Güvenlik ile başka bir öncelik arasında seçim yapmanız gerekiyorsa cevap nettir. Güvenliği seçin” dediği Microsoft tarzı güvenlik öncelikli modelin şöyle olduğunu düşünüyorum
Windows’un her köşesine reklam koy, kullanıcının yaptığı her şeyi kaydeden bir kayıt cihazı yerleştir, çalışanlara “güvenliği yapın” diye e-posta gönder; görev tamamlandı mantığı
Bu olay, eğitimlerin, e-postaların ve süreçlerin çoğunun makul inkâr edilebilirlik için olduğunu güçlü biçimde hissettirdi
Microsoft’ta güvenliği gerçekten önemseyen insanlar da var. Bizzat tanıştıklarım da oldu. Ama genel olarak bu tür mekanizmalar Satya’nın mahkemede veya Kongre’de “Biz güvenliği daha iyi yapmalarını söyledik. Bu ürün ekibinin ya da bireysel katkı sunanların hatası; Microsoft’un politikaları ve teşviklerinin suçu değil” diyebilmesini sağlıyor
E-postadaki ifadelerin hiçbir ağırlığı yoktur. Lider güvenliği başka bir şeyle takas etmeyi seçtiği anda, çalışanlara gereken sinyal zaten verilmiş olur
Canonical’ın Super tuşu aramalarını kaydettiği tartışması ve Ubuntu’da Amazon reklamlarının varsayılan olarak yer aldığı dönem aklıma geliyor
Bilgisayar meraklıları Arch, Gentoo, NixOS Minimal kurup paketleri denetleyebilir; ancak yazılım mühendisi olmayan çoğu kişiden bunu beklemek gerçekçi değil
Yalnızca Microsoft’ta değil, tüm şirketlerde mümkün olduğunca çok reklam yerleştirme ve olabildiğince çok veri toplama teşviki her zaman var. Düzenlemeyi destekler miyim emin değilim ama başka bir yolu da pek bilmiyorum
Her zamanki gibi “önce güvenlik” denen yönetici klişesi önemli değil
İnsanları özelliklerle ödüllendirip terfi ettirirken güvenlik kültürünü ödüllendirmezseniz, insanlar ve yönetim kademeleri aptal olmadığı için o yöne optimize eder
Bu teşviklerin nasıl tasarlanırsa çözüleceğini bilmiyorum ama işler böyle akmaya devam edecek
Sorumlu kişiler cezalandırılıp birileri bedel ödemeden muhtemelen hiçbir şey olmayacak
Normalde bir özellik, pazarlama o özelliğin maliyetinden daha fazla iş büyümesi sağlayacağını gösterebildiğinde ürüne girer. Aynı fikir uygulanabilir
“Bu açık müşterilerin X%’ini etkiliyor, Y%’i ayrılıyor ve itibar zararıyla birlikte büyük miktarda para kaybediliyor. Öte yandan Z gün içinde küçük bir maliyetle düzeltilebilir. Karar?” gibi
Bu hikâyede epey büyük bir ipucunun gözden kaçırıldığını düşünüyorum. Kesintisiz SSO’yu devre dışı bırakmak, devlet çalışanlarının cihazlara giriş yaparken kullandığı fiziksel akıllı kartlar üzerinde geniş kapsamlı ve özel bir etki yaratır.
Federal kurallar gereği gerekli olan bu kartlar, her girişte rastgele bir parola üretir; ancak alttaki teknoloji yapılandırması nedeniyle kesintisiz SSO kaldırıldığında kullanıcılar akıllı kartla buluta erişemez hâle gelir.
ABD hükümeti Microsoft’un en büyük müşterilerinden biri ve kullanıcı tabanı ile Active Directory ölçeği de muazzam. Bu alanda çalışma deneyimime göre kullanıcı ve rol yönetimi; ele geçirilmiş kimlik bilgileri, kilitlenen hesaplar vb. yüzünden kâbusa yakındır ve sürekli hedef alınır.
ABD hükümeti bu sorunları azaltmak için herkesi akıllı kart kimlik doğrulamasına taşımaya çalışıyordu; parolaları kaldırıp herkesi iki faktörlü kimlik doğrulamaya geçirmek saldırı yüzeyini ciddi ölçüde azaltır.
Ama bu kişi, çözümün bir parçası olarak müşterilere bunu kapatmalarını söylemeyi önermiş gibi.
Asıl SAML kusurunun riskini inkâr etmiyorum, ama Harris’in Microsoft’un geri kalan tepkisini haksız değerlendirdiğini düşünüyorum. Kurum genelinde iki faktörlü kimlik doğrulamanın kapatılmasını istemiş gibi oldu.
Kısa vadeli azaltma önlemi güvenliği ciddi biçimde zedeler ve müşterileri tam da engellemeye çalıştıkları türden saldırılara daha fazla açık hâle getirebilir. Bu hikâye, şirketin güvenliği umursamadığına dair bir başka örnek gibi paketlenmiş; oysa müşterinin genel güvenlik duruşuna dar açıdan bakan bir “ihbarcının” tepki göstermesi gibi görünüyor.
Çoğu devlet kurumu bilgi güvenliği sistem yöneticisi de aynı nedenle bunun uygulanabilir bir seçenek olmadığını söylerdi.
Yazının özü de zaten bu. Güvenli şekilde yönetmenin yolu olmadığını bile bile satmaya devam etmişler.
Microsoft’u savunmaya çalışmıyorum ama kârdan önce güvenliği koyan bir şirketi net olarak gösterebilir miyiz, emin değilim.
Bill Gates 2002’de “özellik eklemek ile güvenlik sorunlarını çözmek arasında seçim yapmak gerekirse güvenliği seçmeliyiz” demişti; Satya Nadella da 2024’te aynı doğrultuda “güvenliği yapın” dedi.
https://www.wired.com/2002/01/bill-gates-trustworthy-computi...
https://www.theverge.com/24148033/satya-nadella-microsoft-se...
Gerçekten kullandığım ve daha fazla para ödeyebileceğim özellikler var; ama tamamen güvenli bir protokol olmadığı ya da genel takvim istemcileriyle entegrasyon gerektirdiği için yapmadıkları şeyler de var.
Para ödeyen müşteri güvenliğe değer vermiyorsa, düzenleme ya da yasal zorunluluk olmadığı sürece tedarikçi de güvenliğe değer vermez.
Ama büyük kuruluşların ve hükümetlerin Microsoft müşterisi olduğu düşünüldüğünde bu vaka tuhaf. “Bizim başımıza gelmez” ya da “kimse bilmez” türü bir kibir söz konusu olmuş olabilir.
Artık itibar zararının gelecekteki kârı da büyük olasılıkla zedeleyebileceğini görüyor olmalılar.
Büyük bir köprüyü bir müteahhidin yaptığını hayal etmek yeterli. İçerideki güvenlik denetçisi, üstlerini çöküşe yol açabilecek yapısal bir kusur konusunda defalarca uyardı; zaman içinde dışarıdan da iki kez kamuya açık uyarı geldi ama şirket önemini küçümsedi.
Sonunda köprü çöktü ve şirketin, daha fazla kusurlu köprü satma sözleşmelerini kaybetmek istemediği için hiçbir şey yapmadığı ortaya çıktı.
Kamuoyu haklı olarak öfkelenir ve ilgililer için hukuki sonuçlar doğar. Ama bizim sektörde ne farklı da şirketler ve yöneticiler bu tür kötü niyetin yanına kâr kalmasını sağlayabiliyor, bilmiyorum.
Yeterince çok can kaybı olmadıkça insanlar genelde pek umursamıyor gibi.
https://www.nrk.no/innlandet/statens-vegvesen-legg-fram-rapp...
Yazılım anında hayatı tehdit etmiyor. Bu yüzden sağlık ve havacılık-uzay dışında neredeyse Vahşi Batı gibi işliyor.
Kişisel bilgilerin internete sızması korkunç, ama bir uçağın kapısının kopup düşmesiyle karşılaştırıldığında yine de müdahale etmek için zaman var.
Hükümet, devlete satılan yazılım ürünlerinin sözleşmelerinde lisanslı bir kişinin imzasını ve onayını zorunlu kılarak değişimi başlatabilir.
Mottarone teleferiği ise kesinlikle benzerdi. Güvenlik düzeneği devre dışı bırakılmış hâlde yıllarca çalıştırıldı; çekme halatı kopunca kabin aşağı fırladı ve içindeki herkes öldü.
Golden SAML bir güvenlik açığından ziyade, yazıda alıntılanan CyberArk makalesinin de tekrar söylediği gibi, önce kutuyu tamamen ele geçirmiş olmayı gerektiren bir saldırı türü
Bir şeyi yanlış anlamadıysam belirli bir kusur görünmüyor. Microsoft'un makalede alaya alınarak söylendiği gibi ifade edersek, bu bir güvenlik sınırını aşmak değil
SSO'da her zaman böyle tavizler vardır. SSO altyapısı ele geçirilirse, onu kullanan her şeyin ele geçirilme riski vardır
Bu kısım üstünkörü geçiliyor ama gerçek “hack” buna yakın değil mi diye düşünüyorum
SSO kullanıldığı sürece azaltım da kolay değildir. Bir yöntem, hedef servisin geçerli bir SAML token'ına ek olarak ikinci bir faktör istemesini sağlamaktır; ancak o zaman her kullanıcının her hedef servis için ikinci faktörünü güncel tutması gerekir
Bu hızla yönetilemez hale gelir; ayrıca SSO ile ikinci faktörü aynı anda destekleyen SaaS ya da self-hosted uygulama da pratikte neredeyse yoktur
“GOLDEN ADMIN” diye bir saldırı icat etmeye benziyor. Yönetici kimlik bilgileriniz varsa yönetici olarak giriş yapıp istediğiniz her şeyi yapabilirsiniz, gibi
Saldırganın log bırakmadan her yerde kimlik doğrulayabilmesinin kötü olduğunu anlıyorum, ama yine de ilk yoruma katılıyorum
Mümkün yöntemler olduğunu düşünüyorum
Bu yalnızca Microsoft'a özgü bir sorun değil. Bir güvenlik mühendisi olarak, bu kariyerde akıl sağlığınızı ve başarıyı birlikte istiyorsanız teknik yetkinliği olan, güçlü düzenleyici teşvikleri ve bütçesi bulunan ya da kârla güçlü biçimde bağlantılı bir tehdit modeli nedeniyle güvenliği kültürel olarak önemseyen bir yerde çalışmanız gerekir
Benim ölçütlerime uyan başlıca örnekler, halka arz için SOC2 vb. denetimlerden geçmesi gereken IPO öncesi startup'lar, anahtar hırsızlığı gibi tehdit modelleri ve kâr teşvikleri net olan kripto para sektörü, kritik altyapının büyük kısmını sağlayan halka açık teknoloji şirketleridir
Ancak Microsoft gibi batamayacak kadar büyük olma yönüne kayan yerler de var; Google/Project Zero, Verizon/Paranoids, Cloudflare gibi içerideki güvenlik ekipleri güçlü görünen yerler de var
Bankalar paraya sahip, riskten kaçınan bir kültürleri var ve sıkı şekilde regüle ediliyorlar; bu yüzden olasılık var. Ancak sağlık sektörü, regülasyon güçlü olsa bile saldırı hacmi ve ilgisizlik nedeniyle asla çalışmak istemeyeceğim bir alan
Bu yüzden DART ekibinde gerçek tehdit aktörlerini ve çeşitli olay müdahalelerini çok görmek istemiyorsanız ya da çok düşük seviyeli OS güvenliği yapmak istemiyorsanız, güvenlik mühendisi olarak Microsoft'a gitmeyi önermem
Apple güvenlik mühendisliği işleri konusunda pek bilgim yok. Güvenlik kariyerlerinde ortalama görev süresinin kabaca 10 yıl civarında olmasının nedeni de bu. Akıl sağlığı aşınıyor ve ücretler epey iyi olduğu için 30'lu-40'lı yaşlarda birikmiş parayla başka işler yapabilir hale geliyorsunuz