Uber e Thycotic: os cofres de senha são uma enorme vulnerabilidade de segurança?

Muitas vezes, quando as pessoas falam sobre segurança, surge a discussão sobre gerenciadores de senhas ou cofres. Estes podem ser úteis para os indivíduos. No entanto, eles carregam alguns riscos reais para as empresas, se não forem cuidadosamente considerados.

Uber foi violado recentemente , e por todas as contas do invasor completamente assim. Um sistema de cofre de senhas chamado Thycotic entrou fortemente em jogo junto com algumas outras medidas projetadas para adicionar, em vez de remover a segurança.

Há algumas coisas com as quais quero começar:

• a tecnologia e as ferramentas em si não são culpadas aqui, em vez disso, depende da implementação delas e do design mais amplo dos sistemas da Uber
• gerenciadores de senhas e cofres são usados de forma intercambiável, mas geralmente um cofre de senha será mais um sistema corporativo para uma empresa proteger credenciais em toda a empresa do que para um único usuário
• a segurança é complicada e, quando não foi projetada desde o início, você acaba com grandes vulnerabilidades que significam que o menor erro pode se tornar uma violação maciça com muito pouco aviso

O que aconteceu no hack do Uber?

Começamos com a fadiga de notificação. O invasor, supostamente um “TeaPot” de 17 anos do Reino Unido, encontrou credenciais (provavelmente compradas online) de um contratado do Uber e começou a enviar solicitações de autenticação de vários fatores para eles repetidamente. Isso está rapidamente se tornando um ataque comum, simplesmente tentando incomodar as pessoas para que aceitem a notificação, embora neste caso também tenham enviado uma mensagem via WhatsApp dizendo ser da Uber IT e dizendo ao contratante que houve um erro e se aceitaram a notificação pararia os alertas.

Depois que o contratado aceitou o alerta, a TeaPot afirma ter acessado a intranet e encontrado um script com credenciais de administrador para o Thycotic Secrets Vault que o Uber usa para gerenciar suas credenciais.

As credenciais de administrador podem significar que tudo no cofre de senhas estava disponível para o invasor, e parece que foi isso que aconteceu. Supostamente incluía acesso ao programa de recompensas de bugs, o que significa que a TeaPot obteve acesso a vulnerabilidades não corrigidas nos aplicativos e sistemas da Uber.

Então, os cofres de senha são ruins?

Aqui está o problema. A segurança é complicada e o gerenciamento de credenciais é difícil. Nas escalas em que o Uber e outros unicórnios trabalham, muitos não construídos para segurança desde o início, eles estão efetivamente trabalhando em uma base de areia movediça. Tentando desesperadamente adaptar a segurança a sistemas nunca projetados para isso, enquanto ainda tenta operar como um negócio e acompanhar as demandas dos investidores.

Cofres de senhas como o Thycotic não são uma má ideia, mas o que teria ajudado no caso do Uber? Você verá muita conversa sobre princípios de confiança zero, o que significa não confiar em nenhum dispositivo em uma rede para acessar qualquer coisa, mas embora esses princípios sejam muito falados, eles são incrivelmente difíceis de implementar se não forem construídos a partir de o começo.

Não ter um cofre de senha é outra opção, e isso pode ter ajudado simplesmente porque significaria menos probabilidade de ter todas essas credenciais em um só lugar. Por outro lado, significa que os usuários têm muito mais probabilidade de usar senhas fracas e armazená-las de maneira insegura, como em uma planilha ou arquivo de texto.

Se forem implementados corretamente, os cofres de senha tornam o gerenciamento de sistemas seguros muito, muito mais fácil para os usuários. A verdadeira falha aqui foi ter credenciais de administrador para o cofre de senhas em primeiro lugar; em vez disso, contas individuais devem ser criadas com acesso apenas às credenciais de que precisam. Nenhum contratado externo, por mais confiável que seja, deve ter acesso a esse nível de credenciais - eles simplesmente não precisam disso.

Eu não me sentiria confortável mesmo com o mais confiável dos funcionários tendo esse tipo de acesso. É o tipo de coisa que você divide em vários pedaços, espalha entre vários membros do conselho e guarda em um cofre para emergências, como toda a sua equipe de TI ser abduzida por alienígenas.

Devo usar um cofre de senhas?

Uma coisa que surgiu após o ataque foi muitos fornecedores de produtos de segurança vendendo sua solução como a única que o teria evitado. Na melhor das hipóteses, eles devem ser completamente ignorados, já que os pontos fracos que levaram à violação eram (e quase sempre são) complexos e multifacetados, sem solução fácil. A outra era que muitas pessoas estavam questionando se os cofres ou gerenciadores de senhas eram de repente um novo e enorme risco a ser assumido e se era seguro usá-los.

Imagem via URegina

A resposta simples é sim, se for útil e fizer sentido para você. Um cofre bem configurado permite que você use senhas muito mais seguras, alterne-as regularmente e gerencie-as bem. Muitos cofres secretos corporativos alteram as senhas após cada uso e gerenciam muito mais do que credenciais de usuário, como certificados e outras chaves privadas.

A resposta mais complexa é que qualquer ferramenta que você usa para simplificar a segurança apresentará compensações e seus próprios riscos para um ambiente. Um cofre de senha fornecerá senhas mais seguras e melhor gerenciamento de credenciais, mas a desvantagem é que todas essas credenciais em um só lugar o tornam um alvo tentador para um invasor e podem fazer com que uma pequena violação se torne mais séria rapidamente.