La sicurezza dei dati nel cloud

Dove vanno i difensori, gli aggressori li seguono. Per diversi anni, noi qui di Hornetsecurity, così come ogni altra persona e azienda attenta alla sicurezza, abbiamo sostenuto l’MFA come un sostituto più sicuro del tradizionale ballo nome utente + password per l’accesso ai sistemi.

C’è stato un lento e costante aumento nell’adozione di varie forme di MFA, dai messaggi di testo SMS alle chiavi di sicurezza hardware. Tuttavia, non è che i criminali alzeranno le mani e rinunceranno al loro redditizio “business” e si sono invece adattati. 

Il loro approccio principale è stato quello di utilizzare kit di phishing in stile reverse proxy, pacchetti open source o “commerciali” che aiutano a creare e-mail convincenti per indurre gli utenti a cliccare su un collegamento e impostano anche servizi proxy con pagine di accesso dall’aspetto legittimo.

Quando un utente clicca sul link e viene portato a una pagina di login falsa per inserire il suo nome utente e la sua password, queste credenziali vengono poi passate al sito reale (oltre a essere catturate dall’attaccante). Quando viene quindi sollevato il prompt MFA, questi toolkit reverse-proxy consentono all’utente finale di inserire il suo codice MFA o di approvare il prompt come al solito e anche questo viene passato alla vera pagina di accesso dietro le quinte.

Nel frattempo l’aggressore ruba il token generato dal servizio di identità di destinazione (ad esempio Entra ID) e ora può utilizzarlo per accedere come utente effettivo, per questo questo metodo è chiamato Attacker in the Middle (AitM). 

Per sconfiggere questi attacchi più sofisticati, hai bisogno di un metodo MFA resistente al phishing. Questi metodi sono più recenti e non hanno ancora visto una grande adozione nel settore. Alcuni esempi includono Windows Hello for Business , chiavi USB hardware FIDO2 e più di recente Passkeys .

Questi metodi MFA bloccano l’autenticazione solo all’URL del sito legittimo, quindi anche se l’utente viene ingannato e visita una pagina di accesso che sembra legittima, la tecnologia stessa si rifiuta di funzionare perché rileva che l’indirizzo del sito non corrisponde. 

Il problema è che Windows Hello for Business richiede hardware specializzato (e funziona solo per Windows), mentre le chiavi hardware FIDO2 sono costose, il che ne ha limitato l’adozione.

Detto questo, una Passkey usa le stesse tecnologie di una chiave FIDO2 ma si basa sul chip di sicurezza del tuo iPhone o telefono Android, eliminando la necessità di hardware extra. Anche in questo caso, l’adozione è stata lenta, ma sempre più servizi ora la supportano e se sei responsabile della sicurezza nella tua organizzazione, dovresti sicuramente iniziare a sperimentarla oggi stesso.

Prevediamo che ora che Entra ID di Microsoft, Google Workspace e AWS, insieme a Facebook e molti altri, supportano le passkey, l’adozione aumenterà notevolmente nei prossimi 12 mesi. 

La Vendor Overdependence è la pratica di affidare molti o quasi tutti i processi e le procedure aziendali principali nelle mani di un partner fornitore. Il problema con l’accordo è che se il fornitore ha problemi di qualche tipo (relativi alla sicurezza o altro), allora l’azienda ne soffre di conseguenza. 

Abbiamo parlato a lungo del potenziale problema di dipendenza eccessiva dai vendor che alcune aziende potrebbero dover affrontare con Microsoft, ampiamente tramite i nostri Monthly Threat Reports e The Security Swarm Podcast . Inutile dire che è un problema che persiste e che probabilmente peggiorerà man mano che Microsoft continua a costruire quote di mercato in varie aree. 

Detto questo, ci sono alcune nuove preoccupazioni che sono venute alla luce nell’ultimo anno per gettare una luce ancora più luminosa su questo problema. Nella serie in corso di violazioni riuscite in Microsoft è emerso un articolo interessante nel giugno 2024. 

In sintesi, Andrew Harris, che all’epoca lavorava in Microsoft, identificò un grave difetto in Active Directory Federation Services (AD FS) e cercò disperatamente di risolverlo. I suoi timori furono minimizzati e, mentre il governo federale degli Stati Uniti stava per firmare un accordo multimiliardario con Microsoft per i suoi servizi cloud, il problema fu sostanzialmente messo a tacere.

Dopo aver lasciato Microsoft nel 2020, è stato scoperto l’attacco a SolarWinds, probabilmente il più grande attacco alla supply chain di sempre. Mentre l’attenzione era rivolta a SolarWinds e al suo prodotto Orion compromesso, gli aggressori russi si sono diffusi attraverso le reti sfruttando la falla ADFS dopo il loro punto d’appoggio iniziale.

Naturalmente, questo è accaduto molto prima del rapporto del Cyber ​​Safety Review Board (CSRB) e molto prima che la Secure Future Initiative (SFI) di Microsoft prendesse avvio sul serio, ma il tempo ci dirà se la “nuova” Microsoft metterà davvero la sicurezza al di sopra delle nuove funzionalità, qualcosa che rappresenta una sfida per ogni azienda commerciale. 

Ancora una volta, ogni organizzazione deve prendere la propria decisione quando si tratta di dipendenza eccessiva dal fornitore, ma tenendo conto di anni di diverse preoccupazioni in materia di sicurezza a più livelli e del fatto che finisce la responsabilità di Microsoft per quanto riguarda i dati, la scelta diventa chiara.