Golden SAML, bir kurumun federasyon kimlik altyapısını temelinden hedef alan bir saldırı tekniğidir. Adı, Kerberos ortamındaki altın bilet saldırısına bir göndermedir ve mantığı da benzerdir: kimlik doğrulama sisteminin en gizli anahtarına ulaşıp, o anahtarla dilediğin kişi adına geçerli oturumlar üretmek. Farkı, bulut ve web uygulamalarında kullanılan SAML tabanlı oturum açma akışını hedef almasıdır.

Golden SAML, kimlik sağlayıcısının imzalama anahtarını çalarak istenen herhangi bir kullanıcı ve yetki için sonsuza dek geçerli görünen sahte oturum belirteçleri üretme tekniğidir.

Federasyon Akışının Zayıf Noktası

Federasyon kimlik modelinde, bir uygulamaya giriş yapan kullanıcının kimliği doğrudan uygulama tarafından değil, güvenilen bir kimlik sağlayıcısı tarafından onaylanır. Bu sağlayıcı, SAML biçiminde imzalı bir belirteç üretir; uygulama yalnızca bu imzanın geçerliliğine bakar. Tüm güven zinciri, sağlayıcının özel imzalama anahtarına dayanır. Golden SAML saldırısında saldırgan işte bu anahtarı, genellikle kimlik sağlayıcı sunucusunun (örneğin bir AD FS sunucusunun) belleğinden ya da yapılandırma deposundan çalar.

Anahtar bir kez ele geçtiğinde, saldırgan artık kimlik sağlayıcısına hiç dokunmadan, kendi bilgisayarında istediği içeriğe sahip belirteçler üretebilir. İstediği kullanıcı adını, istediği yetki gruplarını, istediği geçerlilik süresini belirtece yazar ve gerçek anahtarla imzalar. Uygulama açısından bu belirteç, meşru bir girişten ayırt edilemez.

Neden Tespiti Zordur?

Saldırının en tehlikeli yanı, kimlik doğrulama olayının kimlik sağlayıcının günlüklerinde hiç görünmemesidir. Normal bir giriş sağlayıcıda kayıt bırakır; Golden SAML belirteci ise sağlayıcı sunucusuna uğramadan üretildiği için orada iz kalmaz. Uygulama tarafında ise geçerli bir oturum olarak görünür. Bu nedenle saldırı, dizin ortamının bütününü hedefleyen ileri kampanyalarda uzun süreli kalıcılık için tercih edilir; bu boyutuyla geniş bir Active Directory güvenliği sorununun uzantısıdır.

Tekniğin altında yatan güven modeli açığı, federasyon kimlik yönetimi kuran her kurumu ilgilendirir; on-premises kimlik sağlayıcı ele geçirildiğinde, ona güvenen tüm bulut hizmetleri de dolaylı olarak ele geçirilmiş sayılır.

Savunma Yaklaşımı

Golden SAML bir sömürü değil, bir sömürü sonrası tekniktir; saldırgan anahtarı çalabilmek için kimlik sağlayıcı sunucusunda zaten yüksek yetki elde etmiş olmalıdır. Dolayısıyla savunma, bu sunucuyu en kritik varlık düzeyinde korumakla başlar: yönetici erişiminin sıkı sınırlanması, imzalama anahtarının donanım güvenlik modülünde tutulması ve anahtarların düzenli döndürülmesi. Bu mantığı Kerberos tarafındaki altın bilet saldırısı ile birlikte düşünmek, kimlik altyapısının bütününe bakmayı gerektirir.

Bir kurumun bu saldırıya ne kadar açık olduğunu görmenin en doğrudan yolu, saldırganın bakışıyla gerçekleştirilen kontrollü bir sızma çalışmasıdır; kimlik sağlayıcı sunucusuna ulaşan bir yol var mı, anahtar erişilebilir mi sorularını yanıtlar. Privia’nın red team hizmeti bu tür federasyon saldırı zincirlerini uçtan uca modelleyerek kurumun gerçek dayanıklılığını ölçer.