1Password entdeckt „verdächtige Aktivitäten“ im internen Okta-Konto

• Der weit verbreitete Passwort-Manager 1Password hat verdächtige Aktivitäten in seinem eigenen Okta-Konto entdeckt.
• Diese verdächtigen Aktivitäten wurden am 29. September festgestellt und sofort gestoppt.
• Pedro Canahuati, CTO von 1Password, bestätigte, dass weder Nutzerdaten noch sensible Systeme kompromittiert wurden.
• Das Unternehmen arbeitet mit Okta zusammen, um herauszufinden, wie ein unbekannter Angreifer Zugriff auf das Konto erlangen konnte.
• Es wurde bestätigt, dass dieser Vorfall eine Folge der von Okta gemeldeten Kompromittierung seines Customer-Support-Management-Systems war.
• Die Angreifer erlangten HTTP-Archive-(HAR-)Dateien, die sensible Informationen wie Authentifizierungs-Cookies und Session-Tokens enthalten.
• 1Password ist der zweite bekannte Okta-Kunde, der bei Folgeangriffen ins Visier genommen wurde.
• Die Angreifer verschafften sich auch Zugriff auf den Okta-Tenant von 1Password, der zur Verwaltung von Systemzugriffen und Berechtigungen verwendet wird.
• Die Angreifer aktualisierten den IDP (Identity Provider), der zur Authentifizierung der von Google bereitgestellten Produktionsumgebung verwendet wird.
• 1Password änderte anschließend die Konfigurationseinstellungen seines Okta-Tenants, um die Sicherheit zu erhöhen.
• Der Vorfall bei Okta ist Teil einer Serie von Angriffen auf große Unternehmen, die Software oder Dienste für eine große Zahl von Kunden bereitstellen.

[GN⁺]

Hacker-News-Kommentare

• Das Outsourcing von Single Sign-On (SSO) betrifft nicht nur technische Einfachheit oder Fähigkeiten, sondern auch die Zusicherung an Kunden, dass ein vertrauenswürdiger Anbieter dies übernimmt.
• Der Wechsel von 1Password von Offline-, lokaler Speicherung zu Cloud-basierter Speicherung und einem Abonnementmodell hat die Bedenken hinsichtlich der Datensicherheit verstärkt.
• Wenn trotz der Einhaltung bewährter Designpraktiken Komplexität und Transparenz zusammenbrechen, kann das zu erheblichen Schwachstellen führen.
• Der Vorfall bei 1Password könnte Unternehmen dazu veranlassen, für 2FA auf YubiKeys umzusteigen, da alles unterhalb von FIDO2 als schwach angesehen wird.
• Angesichts der Vorgeschichte von Sicherheitsverletzungen stellen einige Nutzer die Wahl von Okta als IdP infrage.
• Die Schuld an dem Vorfall liegt bei Okta, da das Unternehmen zur Fehlerbehebung unverschlüsselte, als HAR kodierte Sitzungsdaten ohne angemessene Bereinigung angefordert hat.
• Einige Nutzer bevorzugen aus Sicherheitsgründen selbst gehostete, selbst synchronisierte Passwortmanager gegenüber Online-Diensten.
• Es braucht Best Practices und intelligente Tools für Anwendungen, um verdächtiges Verhalten zu überwachen.
• 1Password ist der zweite bekannte Okta-Kunde nach Cloudflare, der bei einer Folgeattacke ins Visier genommen wurde.
• Trotz eines möglichen Einbruchs sollten die Benutzerpasswörter sicher sein, da sie im Ruhezustand und bei der Übertragung verschlüsselt sind.