Microsoft Entra ID (पहले Azure AD) में हाल ही में उजागर हुई एक नई हमला विधि ने साइबर सुरक्षा विशेषज्ञों को चिंतित कर दिया है। दो अलग‑अलग खतरे के समूह OAuth क्लाइंट ID स्पूफिंग नामक तकनीक का उपयोग कर रहे हैं, जिससे वे चोरी किए गए उपयोगकर्ता क्रेडेंशियल्स को सत्यापित कर सकते हैं, जबकि किसी भी सफल साइन‑इन इवेंट को उत्पन्न नहीं करते। यह बायपास विधि टेलीमेट्री और सामान्य सुरक्षा अलर्ट को पूरी तरह से अनदेखा कर देती है, जिससे संस्थाओं की पहचान‑आधारित सुरक्षा परम्पराएँ कमजोर पड़ जाती हैं।

कैसे काम करती है OAuth क्लाइंट ID स्पूफिंग?

OAuth 2.0 प्रोटोकॉल क्लाइंट ID को पहचानकर्ता के रूप में उपयोग करता है, जिससे एप्लिकेशन को टोकन जारी करने की अनुमति मिलती है। हमलावर इस प्रक्रिया को बदलकर वैध क्लाइंट ID को नकली (स्पूफ़) बनाते हैं, जिससे टोकन जारीकर्ता को यह विश्वास होता है कि अनुरोध विश्वसनीय क्लाइंट से आया है। परिणामस्वरूप, वे वैध टोकन प्राप्त कर सकते हैं, लेकिन लॉग में कोई “साइन‑इन” इवेंट नहीं दर्ज होता, जिससे सुरक्षा उपकरणों को यह संकेत नहीं मिलता कि कोई अनधिकृत पहुंच प्रयास हुआ है।

प्रभाव और जोखिम

इस तकनीक के दो प्रमुख प्रभाव हैं: (1) उपयोगकर्ता खातों की सूची बनाना – हमलावर Entra ID में उपलब्ध उपयोगकर्ता नामों को क्रमशः क्वेरी करके सभी संभावित लक्ष्यों की पहचान कर सकते हैं। (2) चोरी किए गए क्रेडेंशियल्स का वैधकरण – एक बार जब वे किसी उपयोगकर्ता का पासवर्ड या टोकन प्राप्त कर लेते हैं, तो वे इस स्पूफ़ क्लाइंट ID के माध्यम से यह पुष्टि कर सकते हैं कि क्रेडेंशियल्स अभी भी सक्रिय हैं, बिना किसी अलर्ट को ट्रिगर किए। इससे आगे के रैनसमवेयर, डेटा एक्सफ़िल्टरेशन या क्लाउड संसाधनों के दुरुपयोग की संभावना बढ़ती है।

सुरक्षा उपाय और सिफ़ारिशें

संगठन को तुरंत निम्नलिखित कदम उठाने चाहिए: • सभी OAuth क्लाइंट ID की नियमित ऑडिटिंग और अनपेक्षित क्लाइंट‑ID के उपयोग की पहचान। • टोकन‑जेनरेशन के लिए सशर्त एक्सेस कंट्रोल (Conditional Access) लागू करना, जिसमें अनियमित क्लाइंट‑ID या अनधिकृत स्थान से आने वाले अनुरोधों को ब्लॉक किया जाए। • टेलीमेट्री को विस्तारित करना, जिससे टोकन‑इश्यू इवेंट की निगरानी हो और असामान्य पैटर्न को रीयल‑टाइम में पहचान सकें। • मल्टी‑फ़ैक्टर ऑथेंटिकेशन (MFA) को सभी प्रिविलेज्ड खातों पर अनिवार्य बनाना, जिससे चोरी किए गए पासवर्ड अकेले पर्याप्त न रहें।

भविष्य की दिशा

OAuth प्रोटोकॉल की निरंतर विकसित होती प्रकृति के कारण, क्लाइंट‑ID स्पूफ़िंग जैसी नई बायपास तकनीकें उत्पन्न होती रहेंगी। इसलिए, क्लाउड प्रदाताओं को प्रोटोकॉल‑स्तर पर अतिरिक्त सत्यापन तंत्र (जैसे प्रमाणित क्लाइंट‑सीक्रेट या पब्लिक‑की बाइंडिंग) जोड़ने की आवश्यकता है। वहीं, संस्थाओं को Zero Trust मॉडल अपनाते हुए सतत पहचान‑आधारित सुरक्षा को प्राथमिकता देनी चाहिए, ताकि भविष्य में इसी तरह के अत्याधुनिक हमलों को रोकना संभव हो।