Wprowadzenie do problemu / definicja
N-able Passportal to rozwiązanie do zarządzania poświadczeniami wykorzystywane głównie przez dostawców usług IT oraz firmy MSP. Opisany problem dotyczył krytycznej podatności w rozszerzeniu przeglądarkowym, która mogła umożliwić złośliwej stronie internetowej przejęcie tokenów dostępowych powiązanych z sejfem haseł. W praktyce oznaczało to ryzyko uzyskania szerokiego dostępu do jednego z najbardziej wrażliwych zasobów organizacji, czyli centralnego magazynu poświadczeń.
W skrócie
Istota błędu polegała na tym, że rozszerzenie przeglądarkowe Passportal akceptowało komunikaty bez odpowiedniej weryfikacji ich źródła. To otwierało drogę do ataku, w którym odwiedzona przez użytkownika strona mogła wywołać żądania prowadzące do ujawnienia tokenów sesyjnych. Po ich przejęciu napastnik mógł uzyskać dostęp nie tylko do zapisanych haseł, ale również do kodów TOTP. Producent wdrożył poprawkę, jednak sam model architektury nadal wywołuje pytania o poziom ryzyka rezydualnego.
Kontekst / historia
Passportal jest narzędziem zaprojektowanym z myślą o środowiskach usługowych, w których jeden operator administruje wieloma klientami. Tego typu platformy mają bardzo wysoką wartość operacyjną, ale równocześnie stanowią atrakcyjny cel dla cyberprzestępców. Kompromitacja jednego konta administracyjnego może bowiem przełożyć się na dostęp do wielu organizacji jednocześnie.
Problem został ujawniony przez badacza bezpieczeństwa, który wykazał, że model komunikacji pomiędzy przeglądarką, rozszerzeniem i usługą chmurową zawierał krytyczny błąd zaufania. Producent zareagował szybko i opublikował poprawkę, ale incydent ponownie zwrócił uwagę na ryzyka związane z chmurowymi menedżerami haseł, szczególnie wtedy, gdy najważniejsze operacje kryptograficzne nie są realizowane wyłącznie lokalnie po stronie użytkownika.
Analiza techniczna
Techniczne sedno problemu stanowiła niewystarczająca walidacja komunikatów kierowanych do rozszerzenia przeglądarkowego. Mechanizm komunikacji pozwalał stronie internetowej wysyłać wiadomości, które rozszerzenie traktowało jako zaufane. Jeśli użytkownik odwiedził złośliwą witrynę albo legalny serwis z osadzonym złośliwym komponentem, możliwe było uruchomienie sekwencji prowadzącej do ujawnienia tokenów.
Architektura Passportal różniła się przy tym od klasycznych menedżerów haseł, które utrzymują pełny proces odszyfrowania lokalnie. W tym przypadku rozwiązanie opierało się na tokenach dostępu i odświeżania, a odszyfrowanie danych następowało po stronie serwera. Oznacza to, że przejęcie tokenu dostępowego mogło umożliwić pobranie odszyfrowanych poświadczeń z usługi. Z kolei token odświeżania zwiększał trwałość kompromitacji, ponieważ pozwalał utrzymać dostęp po wygaśnięciu krótkotrwałego tokenu sesyjnego.
Atak nie wymagał lokalnej infekcji stacji roboczej ani przełamania głównego hasła użytkownika. Wystarczyło nakłonić ofiarę do odwiedzenia odpowiednio przygotowanej strony. Po przejęciu tokenów możliwe było enumerowanie kont zapisanych w sejfie oraz pobieranie haseł, danych pomocniczych i sekretów TOTP.
Producent usunął konkretny wektor nadużycia poprzez dodanie kontroli pochodzenia żądań kierowanych do rozszerzenia. Zmiana ogranicza możliwość bezpośredniego wykorzystania błędu przez przypadkowe lub złośliwe witryny internetowe. Nie zmienia to jednak faktu, że architektura oparta na odszyfrowaniu danych po stronie serwera pozostaje istotnym elementem dyskusji o bezpieczeństwie całego rozwiązania.
Konsekwencje / ryzyko
Ryzyko związane z tą klasą podatności jest bardzo wysokie, ponieważ dotyczy centralnego repozytorium poświadczeń. W środowisku MSP skutki mogą być szczególnie dotkliwe, gdyż kompromitacja jednego operatora może przełożyć się na dostęp do wielu klientów końcowych, paneli chmurowych, systemów administracyjnych, infrastruktury zdalnego zarządzania oraz kont uprzywilejowanych.
Dodatkowym problemem jest możliwość przejęcia TOTP, co osłabia skuteczność uwierzytelniania wieloskładnikowego w sytuacji, gdy drugi składnik przechowywany jest w tym samym sejfie co hasło. W praktyce taki scenariusz może umożliwić pełne przejęcie kont nawet wtedy, gdy organizacja formalnie wdrożyła MFA.
Incydent uwypukla również ryzyko operacyjne wynikające z samego projektu systemu. Jeżeli mechanizm odszyfrowania lub dostęp do wrażliwego materiału kryptograficznego znajduje się w ścieżce komunikacji z serwerem, powierzchnia ataku rośnie i obejmuje nie tylko rozszerzenie przeglądarkowe, ale także backend, bezpieczeństwo sesji, integracje oraz procesy logowania ruchu.
Rekomendacje
Organizacje korzystające z Passportal powinny w pierwszej kolejności upewnić się, że wszystkie rozszerzenia przeglądarkowe zostały zaktualizowane do wersji zawierającej poprawkę. W środowiskach zarządzanych centralnie warto wymusić kontrolę wersji i sprawdzić, czy na żadnej stacji roboczej nie pozostała podatna edycja dodatku.
Należy również przeprowadzić przegląd poświadczeń przechowywanych w sejfie, zwłaszcza dla kont uprzywilejowanych, dostawców chmurowych, systemów RMM, VPN, paneli administracyjnych i repozytoriów kodu. W przypadku podejrzenia nadużycia wskazane jest zresetowanie haseł, ponowne wygenerowanie sekretów TOTP oraz unieważnienie aktywnych sesji.
Dla organizacji MSP kluczowe jest potraktowanie tego incydentu jako potencjalnego ryzyka łańcucha dostaw. Trzeba ocenić, czy dostęp do środowisk klientów był przechowywany w podatnym sejfie oraz czy wystąpiły oznaki nietypowego użycia poświadczeń lub eksportu danych.
- monitorowanie użycia kont uprzywilejowanych,
- detekcja anomalii logowania z nowych lokalizacji i urządzeń,
- segmentacja dostępu administratorów,
- ograniczanie liczby poświadczeń o szerokich uprawnieniach,
- regularny przegląd rozszerzeń przeglądarkowych instalowanych w organizacji,
- rozdzielanie przechowywania haseł i sekretów MFA tam, gdzie wymagany jest wyższy poziom odporności.
Z perspektywy architektury bezpieczeństwa warto preferować rozwiązania oferujące rzeczywiste szyfrowanie end-to-end, w których odszyfrowanie danych następuje lokalnie po stronie klienta, a dostawca usługi nie znajduje się w ścieżce dostępu do danych jawnych.
Podsumowanie
Incydent związany z N-able Passportal pokazuje, że bezpieczeństwo menedżera haseł zależy nie tylko od siły kryptografii, ale również od szczegółów implementacji i modelu zaufania w przeglądarce. Błąd walidacji komunikatów w rozszerzeniu umożliwiał przejęcie tokenów prowadzących do szerokiej kompromitacji sejfu haseł. Choć poprawka ograniczyła bezpośredni wektor ataku, pytania o bezpieczeństwo architektury chmurowej i odszyfrowanie po stronie serwera pozostają aktualne.
Źródła
- Dark Reading – N-able Bug Exposes Password Vault Master Keys — https://www.darkreading.com/vulnerabilities-threats/n-able-bug-password-vault-master-keys
- N-able Passportal — https://www.n-able.com/products/passportal
- Am I Being Pwned – write-up Jamesa Arnotta — https://amibeingpwned.com/