„Dies ist das zweite Mal, dass Cloudflare von einem Verstoß gegen die Systeme von Okta betroffen ist“, sagte eine Gruppe von Cloudflare-Ingenieuren schrieb am Freitag. Anschließend gaben sie eine Liste mit Empfehlungen, wie Okta seine Sicherheitslage verbessern kann: „Nehmen Sie jede Meldung über eine Kompromittierung ernst und handeln Sie sofort, um den Schaden zu begrenzen.“ Informieren Sie Ihre Kunden zeitnah und verantwortungsvoll darüber, wenn Sie feststellen, dass sie von einem Verstoß gegen Ihre Systeme betroffen sind. Erfordern Hardwareschlüssel zum Schutz aller Systeme, einschließlich der Support-Drittanbieter.“
Die Cloudflare-Ingenieure fügten hinzu, dass sie Schutzmaßnahmen wie diese als „wichtige Herausforderung“ für ein Unternehmen wie Okta betrachten, das so viele Organisationen mit so wichtigen Sicherheitsdiensten versorgt.
Als WIRED Okta eine Reihe von Fragen dazu stellte, welche Schritte das Unternehmen nach den beiden Verstößen unternimmt, um seine Kundendienstabwehr zu verbessern, und warum es anscheinend an Dringlichkeit mangelt, wenn das Unternehmen Berichte über potenzielle Vorfälle erhält, lehnte das Unternehmen dies ab Kommentar. Ein Sprecher sagte, man werde bald weitere Informationen zu diesen Themen veröffentlichen.
„Ich möchte wirklich wissen, welche technischen Kontrollen Okta nach dem Verstoß im Jahr 2022 eingeführt hat und warum dieses Mal anders sein wird“, sagt Evan Johnson, Mitbegründer von RunReveal, das ein Tool für Systemtransparenz und Vorfallerkennung entwickelt. „Meine Vermutung ist, dass sie keine Hardware-Sicherheitsschlüssel eingeführt haben oder diese nicht für ihre Auftragnehmer bereitgestellt haben, die den Support leisten.“
Jake Williams, ein ehemaliger Hacker der US-amerikanischen National Security Agency und derzeitiges Fakultätsmitglied am Institute for Applied Network Security, betont, dass „das Problem größer ist als Okta“ und weist darauf hin, dass Angriffe auf die Software-Lieferkette und die Menge an Hacks, gegen die sich Unternehmen wehren müssen, erheblich sind . „Bedauerlicherweise fällt es Dienstleistern jeglicher Größe immer wieder schwer zu glauben, dass sie die Ursache eines Vorfalls sind, bis endgültige Beweise vorliegen“, sagt er.
Dennoch fügt Williams hinzu: „Hier gibt es bei Okta ein Muster, und es beinhaltet ausgelagerten Support.“ Er weist außerdem darauf hin, dass eine der Abhilfemaßnahmen, die Okta den Kunden nach dem jüngsten Vorfall vorgeschlagen hat – die sorgfältige Entfernung von Support-Sitzungs-Tokens, die gefährdet sein könnten, aus den Fehlerbehebungsdaten – nicht realistisch ist.
„Oktas Vorschlag – dass der Kunde irgendwie dafür verantwortlich sein muss, Sitzungs-Tokens aus den Dateien zu entfernen, die er speziell zu Fehlerbehebungszwecken anfordert – ist absurd“, sagt er. „Das ist, als würde man einem Kleinkind ein Messer geben und ihm dann die Schuld für die Blutung geben.“