整理 | 郑丽媛
子公司出品 | CSDN（ID：CSDNnews）
或说，一向是 ” 引火上身 ” ——这个词来比喻国际加密行业龙头供应商 Okta 去年频繁被骇客侵略的遭遇，或许再合适但是。
去年 3 月，曾黑入 Nvidia、HTC等著名子公司的骇客组织机构 Lapsus$ 宣称，它可以出访 Okta 的管理控制面板和顾客统计数据，还在 Telegram 上正式发布了其窃取统计数据的截屏为证。随后，Okta 承认网络攻击可能会负面影响其 2.5% 的顾客。
当时，Okta 的顾客数超过 15000 个，包括西门子子公司、UPS、T-Mobile、丰田等企业，2.5% 即意味着约有 375 个组织机构可能存有安全可靠隐患。好在，Okta 又在 4 月回应说，网络攻击只在 1 月份持续了 25 分钟，最终也只有 2 个顾客确实受到了负面影响。
可好景不常，去年 8 月又有服务项目器端通告 Okta，称其拥有 2020 年 10 月及更早的 Auth0 标识符库复本（Okta 于 2021 年 3 月以 65 亿美元收购了 Auth0），即 Auth0 部分源标识符存储库已经外泄。但是后来经进行调查，并未辨认出什么根本性负面影响。
结果，谁知迈入 2022 年的收尾，据彭博社 BleepingComputer 报道，下月 Okta ” 又双叒 ” 被黑了，这次祸及的是它的专有 GitHub 存储库。
现阶段对大部份顾客都没有负面影响上周，Okta 首席安全可靠官 David Bradbury 向顾客正式发布了一份 ” 秘密 ” 安全可靠通告，其中说到：”2022 年 12 月初，GitHub 向 Okta 发出警示，称 Okta 标识符库遭了形迹可疑出访。经过进行调查，我们辨认出这种违法出访被用来拷贝 Okta 标识符存储库。”
露事件主要与 Okta 的劳动力身份云（WIC）标识符库有关，跟 8 月就曾外泄的 Auth0 标识符库毫无关系。
获知其专有 GitHub 存储库存有形迹可疑出访，Okta 方面立即对其存储库设置了临时出访限制，并中止了大部份 GitHub 与服务项目器端插件的软件系统。紧接著，Okta 便开始著手审核近期对其 GitHub 存储库的大部份出访历史记录和递交历史记录，在掌握外泄范围的与此同时，校正其源标识符的准确性，还更动了 GitHub 凭证并通告了相关稽查部门。除此以外，Okta 还采取了一定措施确保外泄的标识符无法用于出访子公司和顾客统计数据。因此，虽然标识符库遭外泄，但 Okta 表示现阶段普通用户尚未对 Okta 服务项目或顾客统计数据进行需经许可的出访，与此同时 Okta 也并不完全倚赖源标识符来保证其服务项目的安全可靠性。于是在电子邮件结尾，Okta 便强调：” 这对大部份顾客都没有负面影响，包括 HIPAA、FedRAMP 和国防部顾客，不需要顾客们采取任何行动。Oktas 服务项目仍在正常运行并保证安全可靠。”
至于为什么没有负面负面影响仍发送这封电子邮件通告，Okta 解释：” 我们决定分享这一信息，因为要符合我们对透明度和与顾客合作的承诺。”
“Okta 被开源了？”
身为全球 IAM（Identity and Access Management，身份识别与出访管理）行业龙头，去年 Okta 的频繁被黑，令网友们都感到颇为无奈了，往好处看可能是这些事件至今还未造成什么大范围负面影响。
而对于此次 Okta 专有 GitHub 存储库外泄，部分网友却并不乐观：” 值得注意的是，外泄源标识符本身并不是一个安全可靠漏洞。如果没有其他安全可靠漏洞，那么标识符就不可利用。可是，这些标识符也可能会让骇客找到其他预先存有的安全可靠问题。”
还有一些人调侃道，Okta 变成 ” 开源 ” 的了：” 现在，Okta 是开源的 “，” 准确来说，是被开源的 “。
参考链接：
https://www.bleepingcomputer.com/news/security/oktas-source-code-stolen-after-github-repositories-hacked/
https://www.reddit.com/r/technology/comments/zreqb3/oktas_source_code_stolen_after_github/
