搜索

[25445] 2016-09-02_每日安全资讯：OneLogin官方宣布服务器遭到入侵，攻击者可窥探用户个人数据

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2016-09-02_每日安全资讯：OneLogin官方宣布服务器遭到入侵，攻击者可窥探用户个人数据 每 日 安 全 资 讯 ： O n e L o g i n 官 方 宣 布 服 务 器 遭 到 入 侵 ， 攻 击 者 可 窥 探 用 户 个 人 数 据 安 华 金 和   L i n u x 中 国   2 0 1 6 - 0 9 - 0 2 近 日 ， O n e L o g i n 公 司 向 外 宣 布 ， 由 于 他 们 的 服 务 器 存 在 一 个 安 全 漏 洞 ， 黑 客 可 以 窥 探 到 用 户 的 个 人 数 据 （ S e c u r e   n o t e s ） 。 黑 客 已 入 侵 服 务 器 近 两 个 月 黑 客 已 入 侵 服 务 器 近 两 个 月 O n e L o g i n 作 为 一 家 为 用 户 提 供 S S O （ 单 点 登 录 ） 服 务 的 公 司 ， 最 近 却 遭 遇 了 一 系 列 严 重 且 令 人 尴 尬 的 安 全 漏 洞 。 O n e L o g i n 官 方 称 ， 漏 洞 始 于 攻 击 者 试 图 取 得 公 司 内 部 某 个 雇 员 的 用 来 储 存 日 志 和 解 析 信 息 的 服 务 器 权 限 。 当 漏 洞 被 察 觉 时 ， 黑 客 竟 然 在 2 0 1 6 年 7 月 2 号 ， 至 8 月 2 5 号 期 间 获 得 了 服 务 器 权 限 。   通 常 情 况 下 ， 黑 客 只 会 查 看 到 一 些 无 用 的 信 息 日 志 信 息 ， 然 而 由 于 日 志 记 录 系 统 中 的 B U G 却 使 得 S e c u r e   n o t e 上 的 数 据 以 明 文 的 形 式 暴 露 在 外 。 B U G 致 使 致 使 O n e L o g i n 日 志 上 的 信 息 以 明 文 存 储 日 志 上 的 信 息 以 明 文 存 储 O n e L o g i n 所 提 供 的 S e c u r e   n o t e s ， 是 为 个 人 用 户 提 供 的 记 事 本 工 具 ， 可 以 以 加 密 形 式 ， 在 服 务 器 上 存 储 文 本 信 息 。 在 O n e L o g i n 的 官 网 上 ， 他 们 甚 至 建 议 用 户 将 自 己 的 密 码 或 者 证 书 密 钥 等 信 息 存 储 在 S e c u r e   n o t e s 上 。 “ S e c u r e   n o t e   使 用 的 是 A E S － 2 5 6 加 密 ， 然 而 系 统 中 B U G 却 导 致 存 于 S e c u r e   n o t e s 上   的 文 本 可 以 被 以 明 文 的 形 式 ， 在 日 志 中 被 查 看 。 ” O n e L o g i n 的 首 席 信 息 安 全 官 A l v a r o   H o y o s 说 。 在 服 务 器 被 攻 陷 期 间 ， 取 得 权 限 的 黑 客 可 以 利 用 该 B U G ， 查 看 和 编 辑 S e c u r e   n o t e s 上 的 信 息 。 提 升 系 统 安 全 防 护 等 级 提 升 系 统 安 全 防 护 等 级 O n e L o g i n 官 方 声 称 ， 除 了 S e c u r e   n o t e s 上 的 部 分 信 息 ， 用 户 在 公 司 服 务 器 上 的 其 它 个 人 信 息 都 是 安 全 的 。 与 此 同 时 ， H o y o s 称 O n e L o g i n 通 过 集 成 S A M L 的 身 份 验 证 ， 以 及 对 应 唯 一 的 I P 地 址 的 白 名 单 内 部 登 录 系 统 ， 来 提 升 内 部 服 务 器 安 全 防 护 等 级 。 此 外 ， 公 司 还 重 置 了 所 有 不 支 持 S A M L 身 份 验 证 系 统 的 密 码 ， 以 防 止 黑 客 进 一 步 影 响 公 司 的 其 它 服 务 器 系 统 。 对 于 此 次 事 件 中 受 到 影 响 的 用 户 ， O n e L o g i n 方 面 通 过 电 子 邮 件 的 方 式 ， 告 知 用 户 他 们 存 于 S e c u r e   n o t e s 上 的 信 息 ， 可 能 已 经 遭 到 了 泄 漏 ， 以 此 提 醒 用 户 做 好 相 应 的 应 对 措 施 。 倘 若 真 的 有 用 户 将 账 户 密 码 存 在 S e c u r e   n o t e s 中 ， 建 议 用 户 第 一 时 间 ， 重 置 自 己 的 账 号 密 码 ， 开 启 二 次 验 证 以 提 高 自 己 的 账 号 安 全 。 选 择 合 适 的 密 码 管 理 软 件 ， 可 以 帮 你 生 成 强 密 码 ， 并 安 全 存 储 。 目 前 国 外 比 较 知 名 的 密 码 管 理 软 件 有 1 p a s s w o r d 、 L a s t p a s s 、 k e e p a s s 等 ， 而 国 内 也 有 洋 葱 这 样 免 费 的 密 码 管 理 软 件 。 来 源 ： F r e e B u f . C O M 更 多 资 讯 更 多 资 讯 1 .   A r g u s : 一 个 可 以 免 费 检 测 恶 意 e m a i l 的 o u t l o o k 插 件 h t t p : / / t . c n / R c z u Q g v 2 .   信 息 泄 露 可 入 刑   数 据 平 台 要 严 防 h t t p : / / t . c n / R c z u E 8 w 3 .   “ 极 客 奥 运 会 ” ： 九 成 银 行 在 线 系 统 有 安 全 漏 洞
h t t p : / / t . c n / R c z u n H Z 4 .   里 约 奥 运 会 期 间 黑 客 活 动 活 跃   D D o S 攻 击 最 高 峰 值 达 5 4 0 G b p s h t t p : / / t . c n / R c z u m 0 D （ 信 息 来 源 于 网 络 ， 安 华 金 和 搜 集 整 理 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理