违反

您是否使用单点登录(SSO)解决方案让您的学生和工作人员登录到多个系统?如果是这样，您将希望阅读这篇博客文章。2017年5月31日，星期三，onelogin.通知其1200万客户(BBC，2013年)，他们的SSO解决方案已被攻破:

OneLogin公司为客户提供一个登录账号，以便登录多个网站和应用程序。该公司似乎泄露了客户数据，包括解密加密文件的能力。该公司周三通过电子邮件通知客户，事件起因是未经授权访问了其美国的一个数据中心。（来源:Threatpost）

“该服务表示，我们在美国的所有数据中心被攻击，客户数据有可能受到损害。'（来源:C-NET）

在我们探索违规的影响之前，让我们重新审视为什么SSO解决方案如此重要。

SSO使学习成为可能

只有最小的学区可以使用在线教学系统手动维护所有学生和教职员工的用户名和密码。每个项目都要求教职员工和学生维护一个唯一的登录名和密码。对于所有负责记忆和跟踪这些登录凭证的人来说，这需要付出巨大的努力。

SSO简化了对数字教科书，在线系统等的四十或更多用户名和密码跟踪。流行的SSO解决方案包括ClassLink，Encore *，Identity Automation，Lenovo / Stoneware，Onelogin和Tools4ever。解决方案提供商提供单点登录（SSO），自助服务密码重置和用户供应/取消配置等服务。其他服务包括IT生产力，申请人/父权登记，云安全，多因素身份验证等。这些是必不可少的服务。您学区的SSO解决方案的数据违约可能意味着为学生和员工的敏感数据曝光。

*请注意，在本博客条目结束时发表声明，关于他们的建议。正在寻求其他SSO解决方案提供商的陈述。

Onelogin Breach再次打开门

一个既定的解决方案，OneLogin的入侵打开了一扇门5000 +价值服务（例如黑板，Moodle，谷歌，Office365）为受影响的学区。以下是一些相关报价：

“……该公司提供了有关这次入侵的更多细节，并透露，我们美国数据中心服务的所有客户都受到了影响;客户数据被泄露，包括解密加密数据的能力。这可是件大事。”(来源:解决方案评审）

高德纳公司的金融欺诈分析师阿维娃·利坦说，她一直不鼓励企业使用基于云计算的单点登录服务，她认为这些企业(基于云计算的单点登录提供商)在数字领域相当于把所有鸡蛋都放在一个篮子里。“这只是一个巨大的单点故障，”Litan说。“这一漏洞表明，其他(基于云的单点登录)服务也很容易受到攻击。这是一件大事，对受害客户来说是破坏性的，因为他们现在必须改变其认证系统的内部结构，而这一过程给员工带来了很多不便。”(资料来源：克雷布斯安全）

这是自去年8月以来该公司最大的安全漏洞，当时该公司承认，一名攻击者设法利用其系统中的一个漏洞，读取了安全笔记功能中被认为是隐私的笔记。这一事件是两面性的。该公司用于日志存储和分析的系统存在一个bug，导致安全笔记中的所有笔记都以明文形式存储了一个月。在此期间，在一起不相关的事件中，一名攻击者成功破解了OneLogin员工的密码，这让他们得以进入保存笔记的登录系统。”(来源:Threatpost）

OneLogin对受影响用户的建议

如果你是一个教育或商业客户，OneLogin是引用提供以下步骤：

1. 强制您的用户重置OneLogin目录密码;
2. 为使用SAML SSO的任何应用生成新证书;
3. 生成新的API凭证和OAuth令牌;
4. 为Active Directory连接器和LDAP目录连接器生成并应用新目录令牌;
5. 更新用于向第三方目录(如G Suite(谷歌)，Workday，即，和multipro)进行身份验证的API或OAuth证书;
6. 生成和应用新的桌面SSO令牌;
7. 回收任何储存在安全笔记中的秘密;
8. 更新要用于对第三方应用程序进行验证的凭据;
9. 为使用基于表单的认证的应用程序更新管理员配置的登录凭据;
10. 让你的终端用户更新他们可以编辑的基于表单的认证应用程序(包括个人应用程序)的密码;
11. 替换您的RADIUS共享秘密。

作为寄存器指出，这是一个相当大的列表。想象一下，各个学区都在努力自己完成这项工作。

如果您的地区正在使用SSO解决方案，它今后能做什么?

提前计划

Encore Technology Group总裁兼首席技术官Michael Knight最近在TCEA演讲技术领导峰会，已达成评论。他说“这种违规演示了我们的地位，该地区应该在其边界和控制中完全运行IAM，分册和SSO平台，以便该区可以拥有完整的日志记录，审计，分析和数据的可见性，传输数据和数据访问。然后可以将日志，审计和分析数据送入中央记录和监控平台（EX。暹粒 - 安全信息和事件管理），这些平台将允许该区检测并最终防止数据泄露。“

*注意:Enboard不在违规中描述的提供商上的中央云框架上运行。

每个客户都有一个完全独立的平台，具有独立的安全上下文，其中所有身份数据、联合构造和元数据、加密密钥、多因素身份验证细节、日志、审计和管理凭证/访问都是单独存储的，并且是完全唯一的。所有终端用户SSO凭据都用双密钥加密存储在客户的Active Directory中。

最重要的是，该地区拥有对所有数据、控制、管理、审计、日志的完全控制，并可以限制来自供应商的所有访问，包括来自Encore Support的访问。

保护敏感数据不仅仅是一个组织的数字公民身份。当学校充当父母的角色时，他们已经接受了我们对孩子的照顾。然而，即使是像那些使用OneLogin解决方案的大学区(如圣何塞学区)，也会发现自己处于劣势。“做好影响!这可能是你能给有安全意识的学区的唯一建议。在这些情况下，他们各自王国的钥匙已经丢失。

来自身份自动化的声明：

“RapidIdentity，来自身份自动化，旨在让我们的客户更安全。为了做到这一点，我们已经采取了重大措施来确保我们的系统本身的安全，特别是在托管在云上的时候。

和OneLogin一样，RapidIdentity也可以在亚马逊AWS上托管。与OneLogin不同的是，我们已经实现了严格的安全协议，由RapidIdentity的特权访问管理功能强制执行，确保没有个人直接访问托管实现，也没有后门。任何访问都必须由独立的身份自动化服务管理器(Identity Automation Service Manager)请求和批准，这意味着任何个人都不能单独破坏系统。此外，访问权限是在非常有限的时间内授予的(出于安全原因而保留的特定时间)，以防止因意外丢失凭证或访问权限而被破坏。

除此之外，捷卡有许多内置措施，以确保其安全。除了需要第二方批准外，还需要在访问安装的任何部分时使用多因素身份验证，并且仅限于单个客户实现。对称，不对称和散列加密方法的组合也用于确保客户数据和凭据的机密性和完整性。“

-特洛伊·莫兰德，Identity Automation联合创始人兼首席技术官

截至2016/04/2017新增信息。