对Okta Verify 绕过的安全研究

主要观点总结

本文介绍了GitLab红队如何绕过Okta Verify的设备认证，利用被盗浏览器Cookie克隆Okta会话的过程。还包括了防御团队检测这些攻击的指标建议。

关键观点总结

关键观点1: Okta Verify 背景及操作方式

Okta Verify是运行在用户设备上的本地应用程序，提供主机认证和用户身份信息。在通过Okta单点登录（SSO）登录时，Okta Web应用会与本地Okta Verify应用通信，进行设备认证和验证。这可以防止远程攻击者访问Okta会话，即使他们获取了被盗的登录凭据或浏览器Cookie。

关键观点2: 绕过Okta Verify的技术原理

由于Okta Verify的设备验证机制，攻击者无法直接使用传统的窃取Cookie的方式获取Okta会话。为此，攻击者通过恶意软件执行一系列操作，包括窃取浏览器Cookie、设置SOCKS代理、建立被盗的Okta登录会话等，从而绕过Okta Verify的设备认证。

关键观点3: 防御与检测策略

防御方可以在用户机器上查找攻击的迹象，如窃取用户钥匙串数据或注入恶意Chrome扩展等。此外，可以通过主机网络监控检测网络通信的中间人转发到8769端口的情况。还可以检查Okta日志中主机操作系统或用户代理字符串的变化，以发现可能的攻击行为。