La empresa de servicios de verificación Okta ha solucionado una vulnerabilidad presente en su sistema desde julio que permitía acceder a él sin necesidad de contraseña siempre que los usuarios introdujeran un nombre tuviese 52 o más caracteres de longitud.
Okta es un sistema utilizado por varias organizaciones y gobiernos de diferentes partes del mundo como proveedor de inicio de sesión único, un servicio que forece mayor seguridad a la hora de acceder a sistemas internos de la empresa. Entre ellos, a las cientas de correo electrónico y a aplicaciones o bases de datos.
La firma de seguridad para terceros ha anunciado que el pasado 30 de octubre se identificó internamente una vulnerabilidad en la generación de la clave de caché del servidor de directorios (AD/LDAP) DelAuth, según ha indicado en un comunicado.
Esta falla, que habría estado presente en su servicio desde el pasado 23 de julio como error en parte de una versión estándar de Okta, permitía que un usuario se autentificara de diferentes formas, como por ejemplo, con la clave de caché almacenada de una autentificación exitosa anterior.
Asimismo, ha avanzado que, para explotar la vulnerabilidad era necesario que el nombre de usuario tuviera 52 caracteres de longitud o más y que no se aplicara el sistema de autentificación de doble factor (MFA, por sus siglas en inglés).
Okta también ha adelantado que este error ya se ha resuelto modificando los algoritmos criptográficos y pasando de Bcrypt a PBKDF2. Asimismo, ha instado a sus clientes la implementación del sistema de autentificación multifactor por sus siglas en inglés «como mínimo».
Si bien no ha confirmado que se haya explotado la vulnerabilidad, ha recomendado «encarecidamente» a los usuarios que se registren sus cuentas en auntentificadores «resistentes» a fraudes como la suplantación de identidades. Por ejemplo, FIDO2 WebAuthn.