پورتال بازیابی رمز عبور خودکار (SSPR) در سرویس Microsoft Entra ID ممکن است جزئیات حساس حساب‌های کاربری را برای کاربران احراز هویت نشده فاش کند. این نشت اطلاعات شامل تایید موجود بودن یک حساب کاربری و متدهای ثبت شده برای بازیابی رمز عبور است.
مکانیزم نشت اطلاعات و User Enumeration
تحقیقات اخیر نشان می‌دهد که پاسخ‌های سرور در این پورتال بر اساس وضعیت حساب کاربری وارد شده، متفاوت است. این تفاوت در پاسخ‌ها به مهاجمان اجازه می‌دهد تا از طریق تکنیک User Enumeration، لیست‌های ایمیل را بررسی کرده و حساب‌های معتبر سازمانی را شناسایی کنند.
- در صورت نامعتبر بودن حساب، پورتال در صفحه شناسایی باقی می‌ماند.
- برای حساب‌های معتبر، کاربر یا به صفحه انتخاب متد بازیابی هدایت می‌شود و یا یک پیام خطای مربوط به Policy دریافت می‌کند.
- حتی پیام‌های خطای Policy نیز تایید می‌کنند که حساب مورد نظر در سیستم وجود دارد، اما دسترسی به SSPR برای آن محدود شده است.
تاثیر بر امنیت MFA و حملات مهندسی اجتماعی
برای حساب‌هایی که واجد شرایط SSPR هستند، پورتال می‌تواند متدهای تایید هویت ثبت شده (مانند SMS، تماس صوتی، کدهای Microsoft Authenticator یا سوالات امنیتی) را نمایش دهد. این موضوع به عامل تهدید کمک می‌کند تا سطح مقاومت هدف در برابر حملات را ارزیابی کند:
حساب‌هایی که از OTP ایمیلی یا SMS استفاده می‌کنند، در مقایسه با کاربرانی که از اپلیکیشن‌های Authenticator استفاده می‌کنند، اهداف آسان‌تری هستند. مهاجمان می‌توانند بر اساس این داده‌ها، حملات Phishing یا SIM-swapping خود را بهینه‌سازی کنند.
شناسایی حساب‌های دارای دسترسی بالا (Privileged Accounts)
در برخی پیکربندی‌های Tenant، دسترسی به SSPR تنها برای مدیران (Administrators) فعال است و کاربران عادی از این محدوده خارج شده‌اند. در چنین شرایطی، هر حسابی که بتواند از مرحله شناسایی عبور کرده و به صفحه انتخاب متد برسد، به احتمال زیاد یک حساب دارای دسترسی بالا است که آن را به هدفی جذاب برای شناسایی و حمله تبدیل می‌کند.
توصیه‌های امنیتی برای مدیران SOC و CISOs
سازمان‌ها باید فعالیت‌های SSPR را به عنوان بخشی حیاتی از امنیت هویت (Identity Security) در نظر بگیرند. اقدامات پیشنهادی عبارتند از:
- بازبینی تنظیمات SSPR: اطمینان حاصل کنید که تنها کاربران مورد نیاز در محدوده SSPR قرار دارند.
- بهبود متدهای احراز هویت: جایگزینی سوالات امنیتی و ایمیل‌های جایگزین با متدهای Phishing-resistant MFA، به‌ویژه برای حساب‌های حساس.
- مانیتورینگ فعال: بررسی دقیق Entra audit logs و سوابق Sign-in برای شناسایی الگوهای تکراری بازیابی رمز عبور یا درخواست‌های غیرعادی برای حساب‌های مدیران ارشد.
در نهایت، ابزاری به نام ResetSpy به صورت Proof-of-Concept منتشر شده است که نشان می‌دهد چگونه می‌توان این تفاوت در پاسخ‌های سرور را برای شناسایی خودکار کاربران و ارزیابی آسیب‌پذیری‌های SSPR اتوماتیک کرد.
