Okta destek sistemi ihlali, kurumların oturum açma altyapısını sağlayan bir kimlik sağlayıcının müşteri destek portalına yetkisiz erişim sağlanmasıyla, buraya yüklenmiş oturum verilerinin çalınmasına dayanan bir olaydır. İhlal, kimlik sağlayıcının çekirdek kimlik doğrulama sistemini değil, müşterilerin sorun bildirirken teşhis dosyaları yüklediği yan sistemi hedef aldı; ancak bu yan sistem, ana ortamın anahtarlarını taşıyacak kadar hassas veri barındırıyordu.

Okta ihlali, bir kimlik sağlayıcıya yönelik en küçük erişimin bile, o sağlayıcıya güvenen tüm müşteri ortamlarına açılan bir kapıya dönüşebileceğini gösterir.

Oturum Verisi Neden Bu Kadar Değerli?

İhlalin kalbinde, teknik destek sürecinde toplanan tarayıcı oturum kayıtları yer alıyordu. Müşteriler bir sorunu göstermek için sistem günlüklerini yüklerken, bu dosyalar oturum çerezlerini (session token) de içerebiliyordu. Geçerli bir oturum çerezi, ele geçirildiğinde parolaya ve hatta ikinci doğrulama adımına ihtiyaç bırakmaz; saldırgan, çerezi kullanarak zaten giriş yapmış bir kullanıcı gibi davranır. Bu yüzden çalınan veri, doğrudan müşteri ortamlarına giriş imkânına dönüştü.

Saldırgan, çaldığı bu oturumları kullanarak sağlayıcının bazı müşterilerinin yönetim panellerine ulaşmayı denedi. Bir kimlik sağlayıcı söz konusu olduğunda bu, tek bir kurumu değil, o sağlayıcı üzerinden oturum açan tüm uygulamalara erişim potansiyeli anlamına geliyordu.

Kimlik Altyapısındaki Güven Zinciri

Bu olay, modern kimlik mimarisinin merkezi doğasının hem gücünü hem de riskini ortaya koydu. Federasyon kimlik yönetimi sayesinde bir kullanıcı tek bir sağlayıcıyla kimliğini doğrulayıp onlarca farklı uygulamaya erişebilir; bu büyük bir kolaylıktır. Ancak aynı merkeziyet, o sağlayıcının ele geçirilmesini tek noktadan felaket haline getirir. Sağlayıcıya duyulan güven, ona bağlı her sisteme otomatik olarak devredilir.

Kimlik sağlayıcının müşterileri açısından olay, bir tedarik zinciri saldırısı gibi işledi. Müşterilerin kendi ağları ihlal edilmemişti; risk, güvendikleri ve dışarıdan aldıkları kimlik hizmetinin arkasından geldi. Kendi güvenlik önlemleri ne kadar sağlam olursa olsun, bağlı oldukları sağlayıcının bir yan sistemi onları savunmasız bıraktı.

Kurumların Alması Gereken Önlemler

Olaydan çıkan en somut ders, destek süreçlerinde paylaşılan verilerin hijyenidir. Bir sağlayıcıya teşhis dosyası gönderirken, oturum çerezlerinin dosyadan arındırılması bu tür sızıntıların etkisini büyük ölçüde azaltır. Kurum tarafında ise oturum sürelerinin kısaltılması ve çerezlerin belirli cihaz veya konumla ilişkilendirilmesi, çalınan bir çerezin başka bir yerde işe yaramamasını sağlar.

Böyle bir olay yaşandığında, kimlik sağlayıcı kaynaklı erişimlerin izini sürmek ve şüpheli oturumları hızla geçersiz kılmak kritik olur. Sağlayıcı kaynaklı bir ihlalin kendi ortamınıza yansıyıp yansımadığını netleştirmek için olay inceleme ve müdahale hizmetimiz, kimlik günlüklerini inceleyerek anormal oturumları saptar ve bir sonraki olay müdahale adımını buna göre planlar.