Кража токена доступа приложения

Злоумышленники могут красть токены доступа приложений как средство получения учетных данных для доступа к удаленным системам и ресурсам. Токены доступа приложений используются для выполнения авторизованных API-запросов от имени пользователя или службы и обычно используются как способ доступа к ресурсам в облачных и контейнерных приложениях и программном обеспечении как услуге (SaaS). Злоумышленники, которые крадут токены API учетных записей в облачных и контейнерных средах, могут получить доступ к данным и выполнять действия с разрешениями этих учетных записей, что может привести к повышению привилегий и дальнейшей компрометации среды. Например, в средах Kubernetes процессы, работающие внутри контейнера, могут взаимодействовать с сервером API Kubernetes, используя токены служебных учетных записей. Если контейнер скомпрометирован, злоумышленник может украсть токен контейнера и тем самым получить доступ к командам API Kubernetes. Аналогично, экземпляры в конвейерах непрерывной разработки/непрерывной интеграции (CI/CD) часто используют токены API для аутентификации в других службах для тестирования и развертывания. Если эти конвейеры скомпрометированы, злоумышленники могут украсть эти токены и использовать их привилегии. В Azure злоумышленник, который компрометирует ресурс с прикрепленной управляемой идентификацией, такой как виртуальная машина Azure, может запросить краткосрочные токены через службу метаданных экземпляра Azure (IMDS). Эти токены затем могут способствовать несанкционированным действиям или дальнейшему доступу к другим службам Azure, обходя типичную аутентификацию на основе учетных данных. Кража токенов также может происходить через социальную инженерию, и в этом случае может потребоваться действие пользователя для предоставления доступа. OAuth — это одна из часто реализуемых платформ, которая выдает токены пользователям для доступа к системам. Приложение, желающее получить доступ к облачным службам или защищенным API, может получить доступ с помощью OAuth 2.0 через различные протоколы авторизации. Примером часто используемой последовательности является поток предоставления кода авторизации Microsoft. Токен доступа OAuth позволяет стороннему приложению взаимодействовать с ресурсами, содержащими пользовательские данные, способами, запрошенными приложением, без получения учетных данных пользователя. Злоумышленники могут использовать авторизацию OAuth, создав вредоносное приложение, предназначенное для получения доступа к ресурсам с токеном OAuth целевого пользователя. Злоумышленнику потребуется завершить регистрацию своего приложения на сервере авторизации, например на платформе Microsoft Identity Platform с использованием портала Azure, среды разработки Visual Studio, интерфейса командной строки, PowerShell или вызовов REST API. Затем они могут отправить ссылку целевого фишинга целевому пользователю, чтобы побудить его предоставить доступ к приложению. После предоставления токена доступа OAuth приложение может получить потенциально долгосрочный доступ к функциям учетной записи пользователя через токен доступа приложения. Токены доступа приложений могут функционировать в течение ограниченного времени, ограничивая то, как долго злоумышленник может использовать украденный токен. Однако в некоторых случаях злоумышленники также могут красть токены обновления приложений, позволяя им получать новые токены доступа без запроса пользователя.