OAuth yetkilerini güvenlik ekipleri neden incelemekte zorlanıyor?

OAuth onayı, iş uygulamaları ile şirket verileri arasında kalıcı bağlantılar kurabilir. Bir çalışan, not alma uygulamasına takvim erişimi verebilir veya bir görev aracını Slack'e bağlayabilir. Makalenin yazarı Nudge Security'ye göre bu yetkiler, tek oturum açma (SSO) ve çok faktörlü kimlik doğrulamadan (MFA) ayrıdır.

Şirket, bir çalışanı Google Workspace veya Microsoft 365'te devre dışı bırakmanın o platformdan verilen yetkileri askıya aldığını, üçüncü taraf uygulamalardan verilen yetkilerin ise çalışmayı sürdürebildiğini belirtiyor. Kullanılmayan yetkiler etkinlik günlüklerinde görünmeden geçerliliğini koruyabilir. Makale, Vercel ihlalinin nedenini, bir çalışanın aylar önce kurumsal Google Workspace hesabına bağladığı Context.ai adlı üçüncü taraf yapay zekâ aracından alınan ele geçirilmiş bir OAuth belirtecine bağlıyor.

Nudge Security, 1.000 çalışanlı bir şirkette 88.000 erişim yolu bulunduğunu ve bunların 31.000'inin hassas verilere doğrudan eriştiğini tahmin ediyor. Şirket, tek bir yetkinin kapsamlı manuel incelemesinin 45 dakika sürebildiğini, OAuth Grant Risk Analyst aracısının ise aynı karara 15 saniyede ulaştığını söylüyor. Şirkete göre aracı, 240.000'den fazla tedarikçi güvenlik profilinden yararlanıyor.

Makalenin anlattığı iş akışında aracı yetkileri değerlendirip işlem öneriyor; güvenlik ekibi kanıtları inceliyor ve değişiklikleri onaylıyor. Nudge Security, sisteminin bir yetkiyi iptal etmek veya yetkiyi veren kişiden erişimi gerekçelendirmesini istemek gibi işlemleri yürütebildiğini söylüyor. Makalenin yazarı Nudge Security; yazı BleepingComputer'da yayımlandı.