Hizmet olarak dizin ürünleri sunan JumpCloud, devam eden bir güvenlik olayı olduğuna inanılan olayın ardından zorunlu uygulama programlama arabirimi (API) güvenlik anahtarı değişimleri yayınladı.
Şirket, herhangi bir yerden herhangi bir cihazdan güvenli erişim sunar ve hizmet olarak yarıçap teklifini kullanarak kurumsal WiFi ve VPN cihazlarını entegre edebilir. Kendisini Microsoft Active Directory için tam bir bulut ikamesi olarak konumlandırır.
Computer Weekly’nin kardeş yayını SearchSecurity.com, JumpCloud’un müşterileri bilgilendirdiğini ve Perşembe günü BT yöneticileri için çeşitli hizmetleri etkileyen bir API anahtarının sıfırlandığını bildiren bir destek bildirimi yayınladığını bildirdi. SearchSecurity.com, JumpCloud’un yeni bir API anahtarı oluşturmak için talimat verdiğini kaydetti, ancak olayın ne olduğunu, buna neyin sebep olduğunu veya şirket ağının ihlal edilip edilmediğini söylemedi.
JumpCloud tarafından potansiyel olarak etkilenmiş olarak listelenen ürün ve hizmetler arasında Active Directory’yi içe aktarma; BambuHR; Okta Gerçek Zamanlı Kullanıcı ve Parola İçe Aktarma ve Slack için JumpCloud Uygulaması.
JumpCloud, müşterilere gönderilen bildirimin bir ekran görüntüsünde şunları söyledi: “Devam eden bir güvenlik olayıyla ilgili olarak, JumpCloud mevcut API anahtarlarınızı geçersiz kıldı… Bunun kuruluşunuza neden olduğu her türlü rahatsızlıktan dolayı özür dileriz, ancak işlem yapıldı. en ihtiyatlı hareket tarzı olarak sizin adınıza.
Cequence Security’de ikamet eden bilgisayar korsanı Jason Kent, herhangi bir kriptografik sistemdeki en önemli bileşenin anahtar olduğunu söyledi. “Geçmişte uzun ömürlü anahtarların kullanımı konusunda uyarıda bulunan ve hassas kontroller için kalıcı API anahtarları hakkında birçok kez yorum yapan biri olarak, ‘Sana söylemiştim’ aşaması pek eğlenceli değil,” dedi. söz konusu.
“Bu sistemleri kullanan ekiplerin artık kaç tane entegrasyonun başarısız olduğunu, bunun dahili olarak ne kadar geri tepme yaratacağını görmesi ve her şeyi düzeltmeye başlaması gerekeceğinden, bu çok stresli bir şey.”
JumpCloud’un destek sayfası, bir JumpCloud yönetici API anahtarına dayanan bir entegrasyonla bir JumpCloud API anahtarı kullanan JumpCloud yöneticilerini, entegrasyonları yeni API anahtarlarıyla güncelleyerek harekete geçmeye çağırdı.
Kent, anahtarları yeniden yayınlamanın, BT yöneticilerinin artık JumpCloud API’lerini kullanan çeşitli BT sistemlerinde anahtarlar ayarlaması ve ardından başarı ve başarısızlık raporlarını beklemesi gerektiği anlamına geldiğini söyledi. Kent, optimum anahtar yönetiminin, bunları kullanım anında üretebilecek sistemlere ihtiyaç duyduğuna inanıyor.
“Bunun nedeni, anahtarların saklanmasının saldırganlar tarafından bulunma eğiliminde olması ve bunun gibi uzlaşmaların büyük bir sorun haline gelmesidir” dedi. “Bilgisayarlar tekrar eden görevlerde gerçekten iyidir, her seferinde oturum açmalarını sağlayın. Ayrıcalıklı erişim yönetimi veya benzeri bir strateji kullanın ve anahtarı koruduğunuzdan emin olun.”