okta

TechCrunchの報道によると、「Department of Peace」を名乗るハッカーが、アメリカ合衆国国土安全保障省（DHS）が使用しているOktaのシングルサインオンシステムから大量の従業員データを取得し、データ透明性組織のDistributed Denial of Secrets（DDoSecrets）が水曜日に「Icepick」データセットとして公開しました。漏洩した記録は4万件を超え、DHSの約22万人の従業員のうち約5分の1に相当し、名前、職位、業務用メールアドレス、電話番号、オフィスの場所、内部システムの権限などの情報が含まれています。その中で約2.1万件は税関・国境保護局（CBP）の職員に関するもので、さらに約1万件は移民・関税執行局（ICE）およびその国土安全保障調査局（HSI）に関連し、サイバーセキュリティ・インフラセキュリティ局（CISA）に関する記録は約1000件に達しています。TechCrunchは一部のデータの真実性を確認したと述べており、記録のタイムスタンプはデータが約8月中旬にエクスポートされたことを示しています。ハッカーはデータをジャーナリスト兼ハッカーのmaia arson crimewに提供し、その後DDoSecretsに渡しました。Oktaは自社のシステムとデータが侵害されていないと応答しましたが、国土安全保障省のスポークスマンはコメントのリクエストに対してまだ返信していません。この件は、ここ1ヶ月の間に注目を集めたアメリカ政府のデータ漏洩事件の3件目であり、以前には連邦捜査局の職員ファイルやペンタゴンの人事データも盗まれたことがありました。

Gateの市場データによると、Oktaの米国株は前場で19.3%上昇し、第二四半期の業績が予想を上回ったためです。

ChainCatcher のメッセージ、アイデンティティおよびアクセス管理ソフトウェアプロバイダーの Okta が公式に発表したところによると、2024 年 10 月 30 日に内部で AD/LDAP DelAuth のキャッシュキー生成時に存在する脆弱性が発見されました。Bcrypt アルゴリズムがキャッシュキーの生成に使用されており、ここで userId + ユーザー名 + パスワードの組み合わせ文字列をハッシュ処理しています。特定の条件下では、ユーザーは以前に成功した認証の保存されたキャッシュキーをユーザー名に提供することで認証を行うことが可能です。この脆弱性の前提は、ユーザーのキャッシュキーを生成するたびに、ユーザー名が 52 文字以上でなければならないことです。影響を受ける製品とバージョンは、2024 年 7 月 23 日までの Okta AD/LDAP DelAuth であり、この脆弱性は 2024 年 10 月 30 日に Okta の本番環境で修正されました。

ChainCatcher のメッセージ、io.net の最高技術責任者 Gaurav_IO がツイッターで発表したところによると、作業ノード上のサードパーティ認証プロバイダー Okta の Auth0 プロセスに問題が発生し、io.net が Okta 側のレート制限に達しました。これにより、一部のデバイスが API にアクセスする際の接続に影響を与え、バックエンドサーバーとの接続が失敗する可能性があります。これが作業ノードやバックエンドサーバーに直接的な脅威を与えることはありませんが、作業ノードの正常な運用に影響を及ぼす可能性があります。io.net は現在、Okta と積極的に協力して問題を解決し、将来の同様の事象を防ぐための措置を講じています。

ChainCatcher のメッセージによると、io.net の共同創設者兼 CEO の Ahmad Shadid が投稿し、最近、メタデータ API への不正アクセスが発生し、ユーザーのフロントエンドに表示されるメタデータに影響を与えたことを明らかにしました。GPU アクセス権は漏洩しておらず、敏感なユーザーやデバイスデータも公開されていません。この事件を受けて、io.net は OKTA のユーザーレベルの認証統合の展開を加速しており、この展開は今後 6 時間以内に完了する予定です。さらに、io.net は Auth0 トークンを導入してユーザー認証を行い、不正なメタデータの変更を防止します。データベースの復旧中、ユーザーは一時的にログインできなくなります。すべての正常な稼働時間の記録には影響がなく、これによりベンダーの計算報酬にも影響はありません。

ChainCatcher のメッセージによると、ロイター通信は、アイデンティティ管理会社 Okta（OKTA.O）が火曜日に発表したところによると、ハッカーが2ヶ月前のネットワークの脆弱性を利用して、顧客サポートシステムのすべてのユーザーの情報を盗んだと報じています。同社は顧客に通知しており、ハッカーが顧客サポートシステムを使用しているすべての顧客の名前や電子メールアドレスなどのデータを含む報告書をダウンロードしたことを確認しています。Okta は次のように述べています。「私たちはこの情報が積極的に利用されているという直接的な知識や証拠はありませんが、このファイルがフィッシングやソーシャルエンジニアリングのセキュリティリスクを高めることをすべての顧客に通知しました。」

ChainCatcher のメッセージによると、OpenAI の CEO サム・アルトマンが設立した暗号通貨会社 Worldcoin は、ドイツのアイデンティティおよびアクセス管理ソフトウェアプロバイダー Okta と統合し、そのアイデンティティプロトコル World ID を発表しました。World ID の認証機能はドイツで開始され、ユーザーは生体認証データを使用したカスタム設計のハードウェアを使用して完全な認証を行うことができ、そのハードウェアの名前は Orbs で、ベルリンから全国で販売されます。Okta の Auth0 マーケットプレイスでは、Worldcoin のログインオプションを使用した認証ソリューションが提供されており、開発者はこれをアプリケーションのログインオプションとして利用できます。（ CoinDesk）