O problema estava relacionado a nomes de usuário que tinham 52 caracteres ou mais. Quando essa condição era atendida, o sistema da Okta ignorava a autenticação por senha, permitindo o acesso indevido. Para que isso acontecesse, o sistema também precisava detectar uma “chave de cache armazenada” de uma autenticação anterior bem-sucedida, o que significa que o proprietário da conta já havia feito login anteriormente usando o mesmo navegador. No entanto, essa falha não afetou organizações que utilizam autenticação multifatorial, uma camada extra de segurança que exige mais do que apenas uma senha.
É importante ressaltar que um nome de usuário longo, como um e-mail que contém o nome completo da pessoa e o domínio da empresa, pode ser mais fácil de adivinhar do que uma senha aleatória. A Okta reconheceu que essa vulnerabilidade foi introduzida durante uma atualização padrão em 23 de julho de 2024 e que só foi identificada e corrigida em 30 de outubro. A empresa agora recomenda que os clientes que se enquadram nas condições da vulnerabilidade verifiquem seus registros de acesso dos últimos meses.
A Okta desempenha um papel fundamental ao facilitar a autenticação em várias aplicações, permitindo que os usuários acessem tudo com um único login. Isso é especialmente útil para organizações que gerenciam múltiplos aplicativos, pois elimina a necessidade de verificar a identidade em cada um deles. Embora a empresa não tenha informado se alguém foi afetado por esse problema específico, ela se comprometeu a se comunicar mais rapidamente com os clientes, especialmente após incidentes anteriores envolvendo o grupo de ameaças Lapsus$, que acessou contas de alguns usuários.
A segurança digital é um tema cada vez mais relevante, e é essencial que tanto empresas quanto usuários estejam sempre atentos às atualizações e recomendações de segurança. A Okta, ao reconhecer e corrigir rapidamente essa vulnerabilidade, demonstra seu compromisso em proteger os dados de seus clientes e em manter a confiança em seus serviços.
Redação Confraria Tech.
Referências:
Okta vulnerability allowed accounts with long usernames to log in without a password
