或说，向来是 ” 引火上身 ” ——这个词来形容国际加密行业龙头厂商 Okta 去年频繁被骇客入侵的遭遇，或许再合适不过。
去年 3 月，曾黑入 Nvidia、三星等知名公司的骇客组织机构 Lapsus$ 声称，它可以出访 Okta 的管理控制面板和顾客统计数据，还在 Telegram 上正式发布了其窃取统计数据的截屏为证。随后，Okta 承认网络攻击可能会负面影响其 2.5% 的顾客。
当时，Okta 的顾客数超过 15000 个，包括西门子公司、UPS、T-Mobile、马自达等企业，2.5% 即意味着约有 375 个组织机构可能存在安全可靠隐患。好在，Okta 又在 4 月澄清说，网络攻击只在 1 月末持续了 25 分钟，最终也只有 2 个顾客确实受到了负面影响。
可好景不常，去年 8 月又有服务项目器端通告 Okta，称其拥有 2020 年 10 月及更早的 Auth0 标识符库复本（Okta 于 2021 年 3 月以 65 亿美元收购了 Auth0），即 Auth0 部分源标识符存储库已经外泄。不过后来经进行调查，并未发现什么实质性负面影响。
结果，好不容易步入 2022 年的尾声，据彭博社 BleepingComputer 报道，本月 Okta ” 又双叒 ” 被黑了，这次祸及的是它的专有 GitHub 存储库。
目前对大部份顾客都没负面影响上周，Okta 首席安全可靠官 David Bradbury 向顾客正式发布了一份 ” 秘密 ” 安全通告，其中讲到：”2022 年 12 月初，GitHub 向 Okta 发出警告，称 Okta 标识符库遭了形迹可疑出访。经过进行调查，他们发现这种非法出访被用来复制 Okta 标识符存储库。”
据 Bleep跟 8 月就曾外泄的 Auth0 标识符库无关。
得知其专有 GitHub 存储库存在形迹可疑出访，Okta 方面立即对其存储库设置了临时出访限制，并暂停了大部份 GitHub 与服务项目器端插件的集成。紧接着，Okta 便开始着手审查近期对其 GitHub 存储库的大部份出访历史记录和提交历史记录，在掌握外泄范围的同时，验证其源标识符的准确性，还更改了 GitHub 凭证并通告了相关执法部门。除此之外，Okta 还采取了一定措施确保外泄的标识符无法用于出访公司和顾客统计数据。因此，虽然标识符库遭外泄，但 Okta 表示目前普通用户尚未对 Okta 服务项目或顾客统计数据进行未经授权的出访，同时 Okta 也并不完全依赖源标识符来确保其服务项目的安全可靠性。于是在电子邮件开头，Okta 便特别强调：” 这对大部份顾客都没负面影响，包括 HIPAA、FedRAMP 和国防部顾客，不需要顾客们采取相应行动。Oktas 服务项目仍在正常运行并确保安全可靠。”
至于为什么没负面负面影响仍发送这封电子邮件通告，Okta 解释：” 他们决定分享这一信息，因为要符合他们对透明度和与顾客合作的承诺。”
“Okta 被开源了？”
身为亚洲地区 IAM（Identity and Access Management，身份识别与出访管理）行业龙头，去年 Okta 的频繁被黑，令网友们都感到颇为无奈了，往好处看可能是这些事件至今还未造成什么大范围负面影响。
而对于此次 Okta 专有 GitHub 存储库外泄，部分网友却并不乐观：” 值得注意的是，外泄源标识符本身并不是一个安全可靠漏洞。如果没其他安全可靠漏洞，那么标识符就不可利用。可是，这些标识符也可能会让骇客找到其他预先存在的安全可靠问题。”
还有一些人调侃道，Okta 变成 ” 开源 ” 的了：” 现在，Okta 是开源的 “，” 准确来说，是被开源的 “。
参考链接：
https://www.bleepingcomputer.com/news/security/oktas-source-code-stolen-after-github-repositories-hacked/
https://www.reddit.com/r/technology/comments/zreqb3/oktas_source_code_stolen_after_github/
本文来自微信公众号 “CSDN”（ID:CSDNnews），整理：郑丽媛
