افشای جزئیات احراز هویت کاربران از طریق پورتال بازیابی رمز عبور مایکروسافت

تحقیقات اخیر منتشر شده توسط LevelBlue SpiderLabs نشان می‌دهد که پورتال بازیابی رمز عبور (Password Reset) مایکروسافت می‌تواند برای شناسایی حساب‌های کاربری معتبر و در برخی موارد، افشای روش‌های تأیید ثبت شده برای بازیابی رمز عبور، بدون نیاز به احراز هویت مورد استفاده قرار گیرد.

نحوه عملکرد نشت اطلاعات در پورتال SSPR

این آسیب‌پذیری در سرویس عمومی Self-Service Password Reset (SSPR) مایکروسافت مشاهده شده است. محققان دریافتند که ارسال یک آدرس ایمیل به این پورتال، بسته به اینکه حساب کاربری وجود داشته باشد یا خیر، پاسخ‌های متفاوتی تولید می‌کند. در صورتی که حساب معتبر باشد، کاربر به مرحله تأیید (Verification) هدایت می‌شود، در حالی که برای آدرس‌های نامعتبر، پاسخ متفاوتی ارسال می‌گردد.

علاوه بر این، تفاوت این پاسخ‌ها از طریق یک فیلد مخفی به نام CurrentViewName قابل تشخیص است. پاسخ‌هایی مانند SSPR_0011 و SSPR_0013 که نشان‌دهنده محدودیت‌های پالیسی یا استثنائات گروهی هستند، باز هم تأیید می‌کنند که حساب کاربری وجود دارد، زیرا سرور پیش از اعمال پالیسی، کاربر را شناسایی کرده است.

افشای متدهای بازیابی و شناسایی حساب‌های مدیریتی

برای حساب‌هایی که قابلیت SSPR برای آن‌ها فعال است، این پورتال می‌تواند روش‌های ثبت شده برای بازیابی رمز عبور، از جمله SMS، ایمیل‌های جایگزین و اپلیکیشن‌های Authenticator را فاش کند. اگرچه SSPR و MFA از ریجستری‌های متفاوتی استفاده می‌کنند، اما به دلیل فرآیند ثبت ترکیبی مایکروسافت، این دو اغلب هم‌پوشانی دارند.

یکی از نکات بحرانی این تحقیق، شناسایی حساب‌های مدیر (Administrator) است. مایکروسافت قابلیت SSPR را برای حساب‌های ادمین فعال نگه می‌دارد، حتی اگر این قابلیت برای کاربران عادی غیرفعال شده باشد. بنابراین، اگر در یک سازمان SSPR برای کاربران عادی بسته شده باشد اما یک حساب خاص همچنان به صفحه متدهای تأیید دسترسی داشته باشد، به احتمال زیاد آن حساب دارای دسترسی‌های مدیریتی است. این موضوع می‌تواند حساب‌های با ارزش بالا (High-Value Targets) را برای حملات Phishing یا مهندسی اجتماعی هدف قرار دهد.

اتوماسیون حمله و توصیه‌های امنیتی

محققان برای نمایش قابلیت اتوماسیون این تکنیک، ابزاری به نام ResetSpy (نوشته شده با Python) توسعه داده‌اند که می‌تواند لیست‌های ایمیل را بررسی کرده و متدهای SSPR موجود را شناسایی و در قالب CSV خروجی دهد.

با توجه به اینکه مایکروسافت سیستم CAPTCHA قدیمی را حذف کرده و آن را با مکانیزم‌های Backend Throttling و تشخیص رفتار جایگزین کرده است، سازمان‌ها باید بر کنترل‌های جدید ضدسوءاستفاده مایکروسافت تکیه کنند. توصیه‌های کلیدی برای مقابله با این ریسک عبارتند از:

• پایش دقیق Entra Audit Logs برای شناسایی فعالیت‌های غیرمعمول در SSPR.
• محدود کردن دسترسی به SSPR در صورت عدم نیاز.
• حذف متدهای تأیید ضعیف و الزام به استفاده از احراز هویت مقاوم در برابر فیشینگ (Phishing-resistant MFA) برای حساب‌های دارای دسترسی بالا.