Whistleblower Mengklaim Microsoft Mendahulukan Laba daripada Keamanan

• Mantan karyawan Microsoft Andrew Harris mengklaim bahwa setelah menemukan kerentanan Golden SAML di AD FS pada 2016, ia selama bertahun-tahun meminta perusahaan menanganinya, tetapi perusahaan hanya menyebut alternatif jangka panjang alih-alih segera memperbaikinya
• Kerentanan ini memungkinkan penyerang mengakses layanan cloud seperti pengguna sah dengan token palsu setelah mencuri private key dari server AD FS; jejaknya minim di audit log dan juga dapat melewati autentikasi multifaktor
• Usulan Harris untuk menonaktifkan seamless SSO berbenturan dengan kekhawatiran soal ketidaknyamanan pelanggan pemerintah federal, kontrak cloud Pentagon, persaingan dengan Okta, dan penurunan pengalaman pengguna
• Setelah serangan SolarWinds pada 2020, peretas Rusia memanfaatkan kelemahan ini untuk mengumpulkan data sensitif dari National Nuclear Security Administration, NIH, Treasury Department, dan lainnya; setelah itu Microsoft menyarankan pelanggan Microsoft 365 untuk menonaktifkan seamless SSO pada AD FS
• Microsoft menyatakan perlindungan pelanggan adalah prioritas utama dan pihaknya telah meninjau isu keamanan ini beberapa kali, tetapi kesaksian mantan karyawan mengungkap kasus benturan antara budaya keamanan dan prioritas bisnis

---

Kerentanan Golden SAML yang Ditemukan di AD FS

• Andrew Harris bekerja di Microsoft sebagai bagian dari organisasi rahasia Ghostbusters, yang menangani insiden peretasan pada pelanggan sensitif; pada 2016, saat menyelidiki pembobolan di sebuah perusahaan teknologi besar AS, ia mulai berfokus pada masalah AD FS
• AD FS adalah produk yang memungkinkan pengguna mengakses berbagai program kerja setelah login satu kali, dan digunakan oleh jutaan orang
• Risiko utama yang diidentifikasi Harris adalah bahwa dalam autentikasi berbasis SAML, penyerang dapat menyamar sebagai karyawan sah dan mengakses program berbasis cloud
  • Penyerang terlebih dahulu membobol server on-premises, lalu mengekstrak private key dari server AD FS
  • Setelah itu, mereka dapat memalsukan token agar terlihat seperti pengguna dengan hak akses tinggi
  • Karena informasi login tampak normal, hal ini sulit dideteksi dengan audit log biasa
• Harris menilai masalah ini dapat berdampak bukan hanya pada Microsoft Azure, tetapi juga pada organisasi yang memakai penyedia cloud lain seperti Amazon

“security boundary” dan Penilaian MSRC

• Harris melaporkan masalah ini ke Microsoft Security Response Center, atau MSRC, tetapi MSRC menilai bahwa masalah tersebut bukan target perbaikan
• MSRC berpendapat bahwa karena penyerang harus terlebih dahulu mengakses server on-premises, titik itulah yang menjadi batas keamanan; masalah perpindahan berikutnya ke cloud tidak dianggap sebagai batas keamanan terpisah
• Mantan karyawan MSRC mengatakan bahwa saat itu pusat tersebut menangani banyak laporan kerentanan dengan kekurangan staf, dan ada budaya menyimpulkan masalah sebagai “won’t fix”
• Mereka mengenang bahwa istilah “security boundary” saat itu tidak didefinisikan dengan jelas, dan sering digunakan sebagai alasan bagi Microsoft untuk tidak melakukan perbaikan
• Bill Gates menulis dalam memo tahun 2002 bahwa ketika harus memilih antara menambah fitur dan menyelesaikan masalah keamanan, yang harus dipilih adalah keamanan, tetapi mantan karyawan mengatakan pengaruh MSRC melemah seiring waktu

Solusi Sementara Berbenturan dengan Logika Bisnis

• Harris menilai perbaikan jangka panjang bisa memakan waktu, sehingga ia mengusulkan penonaktifan seamless single sign-on(SSO) sebagai solusi sementara
• Fitur ini adalah fitur kenyamanan Microsoft yang memungkinkan pengguna mengakses server on-premises dan berbagai layanan cloud setelah login satu kali
• Menurut Harris, manajer produk Mark Morowczynski menentangnya dengan alasan pengungkapan kerentanan dapat memberi petunjuk kepada penyerang dan dapat menimbulkan ketidaknyamanan besar bagi pelanggan pemerintah federal
  • Pegawai pemerintah federal diwajibkan oleh aturan untuk login menggunakan smart card
  • Harris menjelaskan bahwa jika seamless SSO dimatikan, akses ke cloud akan memerlukan login kedua, dan dalam proses itu smart card wajib tidak dapat digunakan
• Kontrak cloud besar Pentagon dan persaingan dengan Okta juga disebut sebagai alasan penolakan
  • Saat itu Microsoft sedang bersaing dengan Okta, dan seamless SSO adalah salah satu keunggulan kompetitif Microsoft
  • Usulan Harris menciptakan friksi karena pengguna harus melakukan autentikasi dua kali, sehingga berbenturan dengan strategi produk
• Harris mengenang bahwa Morowczynski menyebut keputusan ini bukan keputusan teknis, melainkan keputusan bisnis

Peringatan dari Perusahaan Keamanan Eksternal

• Pada 2017, CyberArk menerbitkan posting blog dan proof of concept yang menyebut teknik ini Golden SAML
• Brad Smith kemudian menulis dalam jawaban tertulis kepada Senate Intelligence Committee bahwa Microsoft mengetahui masalah ini saat publikasi CyberArk pada 2017
• Lavi Lazarovitz dari CyberArk mengatakan bahwa sebelum publikasi, masalah ini dibagikan dalam chat WhatsApp tertutup yang melibatkan peneliti keamanan dari beberapa perusahaan, termasuk peneliti Microsoft
• Harris mengatakan setelah publikasi CyberArk, ia menilai masalah ini menjadi lebih mendesak dan kembali mengajukannya ke grup produk serta MSRC, tetapi MSRC mempertahankan posisi sebelumnya
• Pada 2019, peneliti Mandiant mendemonstrasikan di konferensi di Jerman cara mengakses akun dan aplikasi cloud melalui penetrasi AD FS, serta merilis alatnya
  • Mandiant menyatakan telah memberi tahu Microsoft sebelum presentasi
  • Ini adalah kasus kedua dalam sekitar 16 bulan perusahaan eksternal memberi tahu Microsoft tentang masalah SAML

Peringatan Pelanggan oleh Harris dan Kasus NYPD

• Pada 2019, Harris mengunggah peringatan tidak langsung di LinkedIn yang meminta orang menghubunginya jika memiliki kenalan yang tidak memahami hubungan autentikasi AD FS
• Ia berupaya memberi tahu pelanggan yang sudah memiliki hubungan dengannya secara langsung mengenai risiko tersebut, salah satunya New York Police Department
• Harris menjelaskan kelemahan AD FS kepada kepala TI NYPD Matthew Fraser dan menyarankan penonaktifan seamless SSO
• Fraser mengonfirmasi pertemuan tersebut dan mengatakan kelemahan SAML diidentifikasi sebagai area yang perlu perlindungan dan isolasi
• Harris meninggalkan Microsoft pada Agustus 2020 dan pindah ke CrowdStrike; ia mengatakan kembali mengangkat kelemahan SAML dalam exit interview

Bypass Autentikasi Multifaktor dan Serangan SolarWinds

• Harris mengatakan bahwa dalam percakapan dengan seorang kolega pada 2018, ia menyadari bahwa penyerang yang memiliki token palsu juga dapat melewati autentikasi multifaktor
• Masalahnya adalah meskipun langkah keamanan tambahan diterapkan, penyerang dengan token palsu dapat melewati semuanya
• Pada akhir 2020, serangan SolarWinds terungkap, dan pemerintah AS menyatakan bahwa peretas yang disponsori negara Rusia terlibat
• Penyerang menyisipkan malware ke pembaruan perangkat lunak SolarWinds untuk mendapatkan akses backdoor ke jaringan, lalu memanfaatkan kerentanan pascaintrusi seperti Golden SAML untuk mencuri data cloud dan email
• Penyerang memanfaatkan kelemahan yang ditunjukkan Harris untuk mengumpulkan data sensitif dari berbagai lembaga
  • National Nuclear Security Administration
  • National Institutes of Health
  • Beberapa akun email di Treasury Department
• Brandon Wales dari CISA saat itu mengatakan hampir sepertiga korban tidak menggunakan perangkat lunak SolarWinds
• Microsoft juga dibobol, dan segera setelah serangan itu Microsoft menyarankan pelanggan Microsoft 365 untuk mematikan seamless SSO pada AD FS dan produk serupa

Sikap Publik Microsoft dan Tindak Lanjut

• Microsoft President Brad Smith mengatakan di Kongres pada 2021 bahwa tidak ada kerentanan produk atau layanan Microsoft yang dieksploitasi dalam serangan SolarWinds
• Smith menjelaskan bahwa Golden SAML digunakan dalam 15% dari 60 kasus yang diketahui Microsoft, tetapi juga mengakui bahwa korban yang datanya terlihat atau dicuri tidak hanya terbatas pada kasus tersebut
• Smith mengatakan jika organisasi mengambil berbagai langkah, seperti membeli produk antivirus seperti Microsoft Defender dan melindungi perangkat dengan Intune, dampaknya hampir tidak akan ada
• Setelah SolarWinds, Microsoft mengambil langkah untuk memitigasi risiko SAML, dan fitur untuk mendeteksi dampak peretasan secara efisien dimasukkan ke Sentinel, produk tambahan berbayar
• Dalam blognya, Microsoft menyebut ketiadaan deteksi semacam ini sebagai “blind spot”

Bantahan Microsoft dan Kontroversi Budaya Keamanan

• Microsoft tidak menyediakan eksekutif senior seperti Brad Smith untuk diwawancarai, tetapi tidak membantah hasil investigasi ProPublica itu sendiri
• Dalam jawaban tertulis, perusahaan menyatakan bahwa perlindungan pelanggan selalu menjadi prioritas utama, dan tim respons keamanan menangani semua isu secara serius serta melalui evaluasi manual dan tinjauan oleh mitra engineering serta keamanan
• Microsoft menjelaskan bahwa saat menilai potensi ancaman, pihaknya mempertimbangkan kemungkinan gangguan pelanggan, kemungkinan eksploitasi, dan mitigasi yang tersedia
• Pada 2023, insiden ketika peretas yang terkait dengan pemerintah Tiongkok mengeksploitasi kelemahan keamanan Microsoft untuk mengakses email pejabat tinggi AS juga menjadi subjek penyelidikan House Homeland Security Committee
• Dalam penyelidikan insiden ini, Cyber Safety Review Board menilai bahwa budaya keamanan Microsoft tidak memadai dan perlu dirombak menyeluruh
• Setelah laporan dewan tersebut, Satya Nadella mengatakan kepada karyawan bahwa jika keamanan berbenturan dengan prioritas lain, pilihlah keamanan

Persaingan Bisnis Cloud dan Hasilnya

• Satya Nadella, yang menjadi CEO pada 2014, mempertaruhkan masa depan Microsoft pada bisnis cloud Azure, sementara saat itu Azure jauh tertinggal dari Amazon
• Microsoft menawarkan strategi hybrid cloud kepada pelanggan perusahaan dan pemerintah, yaitu memindahkan sebagian besar komputasi ke cloud sambil tetap mempertahankan sebagian server on-premises
• Keamanan adalah argumen utama dalam penjualan cloud, dengan keunggulan bahwa patch dan pembaruan ditangani oleh tenaga keamanan khusus
• Harris dan mantan karyawan mengatakan bahwa kontrak cloud besar Pentagon dan tekanan pertumbuhan Azure memengaruhi pengambilan keputusan tim produk
• Microsoft akhirnya memenangkan sebagian dari bisnis cloud multi-tahun bernilai miliaran dolar milik Defense Department, bersama Amazon, Google, dan Oracle
• Setelah pengungkapan SolarWinds, harga saham Microsoft naik 106%, dengan keberhasilan Azure dan produk AI seperti ChatGPT disebut sebagai latar belakang utama
• Produk jangka panjang pengganti AD FS yang disebut Morowczynski kepada Harris pada 2017 mulai tersedia pada 2022

[GN⁺]

Pendapat Hacker News

• Solusinya adalah menerapkan zero trust sepenuhnya di dalam organisasi dan tidak memercayai jaringan. Jaringan internal pun harus diperlakukan seperti jaringan eksternal, yaitu sebagai lingkungan yang bermusuhan
  Google adalah salah satu contoh pertama yang mengadopsi zero trust secara luas lewat BeyondCorp, dan tampaknya setelah Aurora tidak ada pembobolan organisasi internal Google
  Dibutuhkan endpoint yang dikelola sepenuhnya, hardening endpoint yang kuat, inventaris seluruh sumber daya organisasi, sertifikat per perangkat, serta mesin daftar kontrol akses yang menentukan akses sumber daya per pengguna
  Anomali juga bisa dideteksi dengan heuristik seperti jam kerja, dan semua aplikasi internal Google terekspos ke internet serta dialihkan ke portal SSO, tetapi pada praktiknya tidak bisa dimasuki. Banyak masalah keamanan seperti ini sudah terpecahkan; tinggal diimplementasikan

  • Zero trust bekerja di Google karena mereka memiliki stack teknologi yang tersentralisasi dan seragam, mulai dari alat, hosting, hingga infrastruktur. Default-nya adalah zero trust, jadi tidak perlu memikirkan konfigurasi terpisah
    Sebagian besar organisasi besar telah menumpuk teknologi internal dan eksternal selama puluhan tahun, sistem lama pada dasarnya dibiarkan begitu saja, dan heterogenitasnya besar karena merger-akuisisi serta kebebasan tiap departemen memilih alat
    Untuk beralih ke zero trust diperlukan migrasi besar-besaran, “edukasi” untuk meyakinkan staf IT yang keras kepala, serta transisi ke model tersentralisasi ala Google
    Dua hal pertama mungkin bisa mendapat anggaran, tetapi yang ketiga bisa sangat mahal. Salah satu alasan Google membuang banyak hal juga karena dalam model tersentralisasi, mereka harus terus bermigrasi dan melakukan upgrade yang memecahkan kompatibilitas
    Di startup, saya ingin menawarkan keseragaman berbasis praktik terbaik seperti ini kepada pelanggan, tetapi suatu hari pelanggan bisa saja meminta, “matikan zero trust dan izinkan kami memakai daftar izin IP.” Demi kontrak besar, kita bisa tergoda menerimanya, dan kita juga tidak bisa membatalkan akuisisi hanya karena perusahaan yang akan diakuisisi tidak memiliki zero trust
  • Hal-hal seperti endpoint yang dikelola sepenuhnya, hardening yang kuat, inventaris seluruh sumber daya, sertifikat per perangkat, dan mesin kontrol akses sama sekali bukan masalah yang “sudah terselesaikan” bagi perusahaan menengah-besar yang kompetensi intinya bukan teknologi
    Sebaliknya, bagi kebanyakan dari mereka ini lebih mirip tantangan yang luar biasa sulit, dan terdengar seperti jawaban “tinggal gambar seluruh burung hantunya.” Bayangkan saja Shaw Industries, produsen karpet dan lantai terbesar di AS dengan 22 ribu karyawan, mencoba menjalankan semua ini
  • Menurut saya, momen ketika seseorang berpikir masalah keamanan sudah terselesaikan justru merupakan sinyal bahaya. Keamanan sempurna tidak ada
    Jika bersikap bahwa semuanya secara absolut “aman”, orang tidak akan rajin mencari pembobolan, dan pada akhirnya akan melewatkan pembobolan yang suatu saat pasti terjadi
  • Dua kata pertama, “solusinya”, sudah membuat argumen itu kehilangan kredibilitas. Setiap engineer akan berkata, “upaya terbaiknya adalah ini, dan alasannya ini,” bukan mengatakan ada satu solusi tunggal
    Zero trust adalah filosofi, dan filosofi yang cukup baik, tetapi bukan solusi itu sendiri. Lebih tepat menganggapnya sebagai filosofi dan praktik yang baik daripada solusi absolut
  • Google juga pernah memindai email pengguna, jadi istilah zero trust terdengar agak munafik. Mungkin di sini istilah itu dipakai dalam arti lain
    Saya tidak melihat arsitektur seperti ini cocok untuk semua perusahaan. Sebagian besar perusahaan teknologi non-software dirugikan oleh rekayasa sosial sederhana, email penipuan, dan masalah kredensial yang diserahkan kepada pihak ketiga; spionase ekonomi juga ancaman besar
    Google mungkin juga memiliki kekhawatiran keamanan lain, seperti whistleblower internal atau kelompok aktivis yang bertentangan dengan visi manajemen, dan struktur ini bisa cocok untuk masalah seperti itu. Namun itu tidak berarti vektor ancaman semua perusahaan sama
    Masalah keamanan memang bisa diselesaikan, tetapi infrastruktur yang dibutuhkan tidak sepele, dan banyak stack software untuk engineering sama sekali tidak mendukung autentikasi pihak ketiga
    Developer, meski bukan pengembang software, sering kali enggan memakai “endpoint yang dikelola.” Ini berhasil di Google, tetapi lebih merupakan kasus khusus; secara realistis, segmentasi jaringan yang masuk akal bisa jauh lebih efektif

• Ketidakselarasan insentif antara keamanan dan laba, terutama di perusahaan publik, sulit diperbaiki tanpa perubahan budaya besar. Saya juga tidak tahu apa yang bisa memicu perubahan seperti itu
  Saya pernah merangkap urusan keamanan siber dalam berbagai peran, tetapi alasan saya tidak menekuninya penuh waktu adalah apa yang saya lihat langsung di industri. Fokusnya jauh lebih besar pada compliance daripada praktik keamanan yang benar-benar baik, dan standarnya pun kurang memadai atau penegakannya lemah

  • Tepat itulah masalahnya. Tidak ada insentif untuk memprioritaskan keamanan. Pelanggan tidak melihatnya, dan kalaupun melihat, kebanyakan hanya compliance ala checklist
    Perubahan budaya memang diperlukan, tetapi menurut saya harus datang dari sisi pelanggan. Meski sulit bagi konsumen, jika pelanggan korporat menilai keamanan dengan benar, menuntut jaminan yang mengikat, dan mengambil keputusan pembelian berdasarkan itu, industri akan merespons
    Tentu saja Microsoft sudah terlalu mengakar di pasar desktop sehingga cara ini sulit sepenuhnya efektif
  • Fakta bahwa kita terus memakai kata sandi meskipun masalahnya sudah ada selama puluhan tahun dan kerentanannya terbukti, lalu alih-alih reformasi sungguhan malah menambahkan “garis pertahanan” kedua di atas infrastruktur smartphone yang rapuh dan tidak transparan, terlihat seperti sinyal bahwa mereka tidak berniat peduli
  • Fokus pada compliance daripada praktik keamanan yang benar-benar baik itu menyedihkan dan kebanyakan hanya membuang waktu
    Namun, ini juga merupakan respons langsung terhadap tidak adanya perubahan budaya yang peduli pada keamanan. Tim keamanan biasanya hanya punya dua pilihan
    Mengatakan “keamanan itu penting, mari buat produk yang aman” lalu ditertawakan, atau menggunakan compliance yang diminta auditor untuk mendorong perusahaan bergerak sedikit saja ke arah keamanan
  • Saya pernah melihat ungkapan bahwa tugas CISO adalah membuat cukup banyak presentasi publik agar ketika perusahaan akhirnya dibobol karena tidak ada yang menganggap keamanan penting, ia sudah bisa mendapatkan pekerjaan berikutnya
  • Kita bisa bertanya apakah kita membeli kunci yang lebih mahal untuk rumah, apakah pintunya diperkuat, dan jika diperkuat, mengapa tidak membuat bajanya 1 inci lebih tebal
    Individu pun kadang memilih uang daripada keamanan. Pemerintah juga tampaknya memilih tenaga kerja yang lebih produktif, alih-alih biaya lebih tinggi dan produktivitas lebih rendah

• Ketika perusahaan menjual ke pemerintah, uang yang bisa didapat dan efek publisitasnya begitu besar sehingga muncul insentif untuk menyembunyikan fakta yang tidak nyaman. Saya jadi teringat pada produsen pesawat tertentu
  Mulai dari menyembunyikan hal-hal yang agak memalukan hingga penipuan besar, sistematis, dan disengaja, seiring waktu ini bisa menyebar ke seluruh spektrum
  Jika pemimpin mengatakan “utamakan keamanan/kualitas” tetapi pada praktiknya tidak memberi imbalan untuk itu, panggungnya sudah disiapkan
  Jika setiap hari orang diberi imbalan atau dihukum berdasarkan target uang, lalu ketika sesekali ketahuan hanya satu-dua bawahan yang dihukum, berarti yang benar-benar dianggap serius oleh perusahaan adalah uang, bukan keamanan/kualitas
  Untuk mencapai tujuan, harus ada insentif. Sales memang penuh tekanan dan bisa mudah dipecat, tetapi kalau berhasil bisa menghasilkan banyak uang. Di keamanan, kalau berhasil hanya tidak dipecat, dan kalau gagal dipecat
  Hasil dari pekerjaan keamanan yang baik adalah “tidak terjadi apa-apa”: tidak ada pembobolan, tidak ada bencana, tidak ada keributan, sehingga sulit juga diukur. Persoalannya adalah bagaimana mengkuantifikasi ketiadaan
  Pada akhirnya, sales punya banyak wortel dan cambuknya sama seperti semua orang, sedangkan keamanan tidak punya wortel dan hanya punya cambuk, yang bahkan bisa saja berupa pentungan berpaku. Jawabannya ada pada budaya, dan menurut saya perubahan budaya adalah yang paling sulit

  • Menurut saya masalah utamanya bukan wortel itu sendiri, melainkan proses dan budaya
    Jangan berharap sales mengkhawatirkan keamanan; fokus sales seharusnya pertumbuhan. Masalahnya adalah tidak memberikan wewenang dan yurisdiksi kepada pihak lain untuk berkata “tidak”, bahwa perbaikan keamanan harus masuk sebelum fitur baru
    Jika manajer proyek yang mendapat insentif pertumbuhan menentukan prioritas, tentu saja ia akan memilih pertumbuhan daripada keamanan
    Bukan berarti tim keamanan tidak tahu masalahnya, melainkan perbaikannya tidak dijadikan prioritas dan budaya serta proses tidak menyeimbangkan kedua sisi
  • Pembahasan tentang regulatory capture mungkin tidak enak didengar
    Di pihak pemerintah pun, setidaknya bagi karier pengambil keputusan individual, ada insentif besar agar kontrak berhasil tercapai
    Kedua belah pihak sama-sama ingin transaksi terjadi, dan punya motivasi untuk menyembunyikan cacat selama pengguna akhir tidak menyadarinya sebelum pensiun

• Menurut saya model keamanan ala Microsoft yang mengutamakan keamanan, seperti ketika Satya Nadella berkata “jika harus memilih antara keamanan dan prioritas lain, jawabannya jelas: lakukan keamanan”, kira-kira seperti ini
  Masukkan iklan ke setiap sudut Windows, pasang perekam yang mencatat semua hal yang dilakukan pengguna, lalu kirim email ke karyawan “lakukan keamanan”, maka misi selesai

  • Tidak lama setelah saya mengikuti pelatihan “jangan menyuap” di Microsoft, pecahlah skandal suap Microsoft
    Peristiwa itu membuat saya sangat merasakan bahwa sebagian besar pelatihan, email, dan proses adalah untuk plausible deniability
    Di Microsoft memang ada orang-orang yang sungguh peduli pada keamanan. Saya pernah bertemu langsung dengan mereka. Namun secara umum, mekanisme seperti ini memungkinkan Satya berkata di pengadilan atau Kongres, “kami sudah mengatakan agar keamanan ditingkatkan. Ini kesalahan tim produk atau individual contributor, bukan karena kebijakan dan insentif Microsoft”
  • Agar adil terhadap Satya, semua pemimpin harus dinilai dari tindakan, bukan kata-kata. Ini bukan masalah Microsoft atau Satya saja; pilih perusahaan besar mana pun, perilakunya akan mirip
    Kata-kata dalam email tidak punya bobot apa pun. Begitu seorang pemimpin memilih menukar keamanan dengan sesuatu yang lain, sinyal yang diperlukan sudah tersampaikan kepada karyawan
  • Saya tidak punya bukti luas, tetapi menurut saya distro Linux yang ramah pemula pun kemungkinan cukup banyak melakukan dosa yang disebutkan di sini
    Saya teringat kontroversi Canonical yang mencatat pencarian tombol Super, serta iklan Amazon yang dulu disertakan secara default di Ubuntu
    Orang yang menyukai komputer bisa memasang Arch, Gentoo, atau NixOS Minimal dan mengaudit paket, tetapi tidak realistis mengharapkan sebagian besar non-insinyur software melakukan itu
    Bukan hanya Microsoft, semua perusahaan selalu punya insentif untuk memasang iklan sebanyak mungkin dan mengumpulkan data semaksimal mungkin. Saya tidak yakin apakah akan mendukung regulasi, tetapi saya juga tidak terlalu tahu cara lain
  • Saya setuju bahwa Microsoft adalah masalah. Namun saya berharap orang-orang di industri teknologi juga bersikap sama kritisnya terhadap Google, yang benar-benar perusahaan iklan
  • Saya pernah melewatkan iklan di papan reklame luar ruang digital karena berganti terlalu cepat atau tulisannya terlalu kecil. Ini tidak terlalu terkait, tetapi rasanya akan benar-benar menarik jika di situs web papan reklame, dengan mengklik lokasi geografisnya, kita bisa melihat apa yang ditampilkan papan reklame itu

• Seperti biasa, klise jajaran eksekutif soal “security first” tidak penting
  Jika orang diberi imbalan dan dipromosikan karena fitur, tetapi budaya keamanan tidak diberi imbalan, orang-orang dan lapisan manajemen bukan orang bodoh, jadi mereka akan mengoptimalkan ke arah itu
  Saya tidak tahu bagaimana merancang insentif ini agar masalahnya selesai, tetapi hal seperti ini akan terus terjadi

  • Caranya adalah hukum, regulasi, dan tanggung jawab
    Sampai orang yang bertanggung jawab dihukum dan ada yang membayar akibatnya, mungkin tidak akan terjadi apa-apa
  • Sepertinya kita bisa memandang “keamanan sebagai fitur”
    Biasanya fitur masuk ke produk ketika marketing bisa menunjukkan bahwa fitur itu menciptakan pertumbuhan bisnis yang lebih besar daripada biayanya. Ide yang sama bisa diterapkan
    Misalnya, “kerentanan ini memengaruhi X% pelanggan, Y% akan pergi, ditambah kerusakan reputasi sehingga kita kehilangan jumlah uang besar. Sementara itu bisa diperbaiki dalam Z hari dengan biaya kecil. Keputusannya?”
  • Manajer sudah bertanggung jawab jika timnya tidak menghasilkan kinerja. Mereka juga harus bertanggung jawab dengan cara yang sama atas kesalahan keamanan

• Menurut saya ada petunjuk yang cukup besar yang terlewat dalam cerita ini. Menonaktifkan seamless SSO akan berdampak luas dan khusus pada smart card fisik yang dipakai pegawai pemerintah untuk login ke perangkat
  Kartu yang diwajibkan oleh aturan federal ini membuat kata sandi acak setiap kali login, tetapi karena konfigurasi teknologi dasarnya, menghapus seamless SSO membuat pengguna tidak bisa mengakses cloud dengan smart card
  Pemerintah AS adalah salah satu pelanggan terbesar Microsoft, dan basis pengguna serta skala Active Directory-nya juga luar biasa besar. Dari pengalaman bekerja di area ini, pengelolaan pengguna dan peran hampir seperti mimpi buruk karena kredensial yang dicuri, akun terkunci, dan sebagainya, serta terus menjadi sasaran
  Pemerintah AS selama ini berusaha memindahkan semua orang ke autentikasi smart card untuk mengurangi masalah seperti ini, dan jika kata sandi dihapus lalu semua orang dipindahkan ke autentikasi dua faktor, permukaan serangannya akan jauh berkurang
  Namun orang ini pada dasarnya meminta agar sebagai bagian dari perbaikannya, pelanggan diberi tahu untuk mematikannya saja
  Saya tidak menyangkal bahaya dari cacat SAML aslinya, tetapi menurut saya Harris menilai sisa respons Microsoft secara tidak adil. Ia seperti meminta seluruh instansi mematikan autentikasi dua faktor
  Mitigasi jangka pendek itu akan sangat merusak keamanan, dan bisa membuat pelanggan lebih terekspos pada jenis serangan yang semula ingin mereka cegah. Cerita ini dibingkai seperti satu lagi contoh perusahaan yang tidak peduli keamanan, tetapi tampaknya ini adalah reaksi balik seorang “whistleblower” yang melihat postur keamanan pelanggan secara terlalu sempit
  Sebagian besar administrator sistem keamanan informasi di lembaga pemerintah juga kemungkinan akan mengatakan bahwa itu bukan opsi yang dapat dijalankan, dengan alasan yang sama

  • Intinya lebih dekat pada fakta bahwa Microsoft tidak memberi tahu pelanggan tentang cacat ini, dan tetap menjual layanannya
    Pada akhirnya, itu juga inti tulisannya. Mereka terus menjualnya meski tahu tidak ada cara untuk mengelolanya dengan aman

• Saya tidak bermaksud membela Microsoft, tetapi saya tidak yakin bisa menyebutkan perusahaan yang benar-benar mengutamakan keamanan daripada laba

  • Masalahnya adalah Microsoft sudah lebih dari 20 tahun mengatakan keamanan adalah prioritas utama, tetapi tindakannya sama sekali tidak demikian
    Bill Gates pada 2002 mengatakan “jika harus memilih antara menambahkan fitur dan menyelesaikan masalah keamanan, kita harus memilih keamanan,” dan Satya Nadella juga menyampaikan hal serupa pada 2024 dengan mengatakan “utamakan keamanan”
    https://www.wired.com/2002/01/bill-gates-trustworthy-computi...
    https://www.theverge.com/24148033/satya-nadella-microsoft-se...
  • Saya sungguh berpikir Proton akan lebih memilih perusahaannya hilang daripada menawarkan produk yang tidak aman
    Kenyataannya ada fitur-fitur yang akan saya pakai dan rela saya bayar lebih, tetapi mereka tidak membuatnya karena protokolnya tidak sepenuhnya aman atau harus diintegrasikan dengan klien kalender umum
  • Jarang, tetapi Mullvad langsung terlintas. Mereka mengambil keputusan demi keamanan pelanggan yang berdampak langsung pada pendapatan, seperti tidak menawarkan langganan berulang yang mengharuskan mereka menyimpan kartu kredit pelanggan
  • Ada juga perusahaan yang tahu bahwa keamanan, atau lebih tepatnya ketiadaan serius pada aspek-aspek pentingnya, bisa memengaruhi laba. Namun itu sangat bergantung pada siapa pelanggannya
    Jika pelanggan yang membayar tidak menghargai keamanan, maka vendor juga tidak akan menghargainya kecuali ada regulasi atau tuntutan hukum
    Tetapi mengingat organisasi besar dan pemerintah adalah pelanggan Microsoft, kasus ini terasa aneh. Mungkin ada kesombongan seperti “ini tidak akan terjadi pada kami” atau “tidak akan ada yang tahu”
    Sekarang mereka mungkin melihat bahwa kerusakan reputasi kemungkinan besar juga akan merugikan laba di masa depan
  • Microsoft memiliki cukup banyak kontrak pemerintah. Dengan bahasa halus, menurut saya mereka berada dalam posisi sulit

• Bayangkan sebuah jembatan besar dibangun oleh kontraktor. Inspektur keselamatan internal berulang kali memperingatkan atasannya tentang cacat struktural yang bisa menyebabkan keruntuhan, dan seiring waktu ada juga dua peringatan publik dari luar, tetapi perusahaan mengecilkan pentingnya masalah itu
  Akhirnya jembatan itu runtuh, dan terungkap bahwa perusahaan tidak melakukan apa-apa karena tidak ingin kehilangan kontrak untuk menjual lebih banyak jembatan cacat
  Publik akan marah secara wajar, dan akan ada konsekuensi hukum bagi pihak-pihak terkait. Namun saya tidak tahu apa yang berbeda di industri kita sehingga perusahaan dan manajer bisa lolos dari niat buruk seperti ini

  • Di Norwegia juga ada jembatan dengan cacat struktural yang diketahui dan benar-benar runtuh, tetapi praktis tidak terjadi apa-apa, dan pembayar pajak harus membayar lebih untuk jembatan baru
    Sepertinya pada umumnya orang tidak terlalu peduli kecuali cukup banyak nyawa melayang
    https://www.nrk.no/innlandet/statens-vegvesen-legg-fram-rapp...
  • Singkatnya, ini Boeing
    Perangkat lunak tidak langsung mengancam nyawa. Karena itu, di luar bidang medis dan dirgantara, semuanya hampir berjalan seperti era Wild West
    Data pribadi bocor ke internet memang mengerikan, tetapi dibandingkan pintu pesawat yang terlepas, masih ada waktu untuk mengambil tindakan
  • Saya tidak paham bagaimana hal ini tidak membuat perusahaan hancur. Mereka sengaja mengabaikan risiko serius, dan memberikan dampak besar pada keamanan nasional
  • Perbedaan yang membuat niat buruk seperti ini bisa lolos di industri kita adalah tidak adanya sistem lisensi profesional. Tidak ada struktur yang terikat regulasi negara bagian dan hukuman yang jelas, bukan hanya tanggung jawab finansial tetapi juga penjara
    Pemerintah bisa mulai mendorong perubahan dengan mewajibkan tanda tangan dan persetujuan individu berlisensi dalam kontrak produk perangkat lunak yang dijual kepada pemerintah
  • Saya rasa jembatan Morandi yang runtuh di Italia juga agak seperti itu
    Kereta gantung Mottarone jelas mirip. Mereka mengoperasikannya selama bertahun-tahun dengan perangkat keselamatan dinonaktifkan, dan ketika tali penariknya putus, kabinnya meluncur ke bawah sehingga semua penumpangnya tewas

• Golden SAML bukanlah kerentanan, melainkan jenis serangan yang, seperti ditegaskan kembali dalam tulisan CyberArk yang dikutip artikel tersebut, hanya mungkin dilakukan setelah terlebih dahulu menguasai penuh mesin terkait
  Kalau saya tidak salah paham, saya tidak melihat adanya cacat spesifik. Dengan kata lain, seperti Microsoft diejek dalam artikel itu, ini bukan melampaui batas keamanan
  Dalam SSO selalu ada kompromi seperti ini. Jika infrastruktur SSO ditembus, semua yang menggunakannya berisiko ikut ditembus

  • Benar. Diperlukan hak administrator server AD FS https://www.netwrix.com/golden_saml_attack.html
    Bagian ini dilewati begitu saja, tetapi menurut saya “peretasan” yang sebenarnya mungkin lebih dekat ke sana
  • Tepat. AD FS, seperti Active Directory itu sendiri, adalah bagian dari Tier 0 dan harus diperlakukan serta dilindungi demikian. Tentu saja efek keamanannya lebih besar jika menjadi bagian dari pendekatan holistik seperti zero trust
    Selama memakai SSO, mitigasinya juga tidak mudah. Salah satu cara adalah membuat layanan tujuan meminta faktor kedua selain token SAML yang valid, tetapi itu berarti setiap pengguna harus menjaga faktor kedua tetap mutakhir untuk setiap layanan tujuan
    Ini cepat menjadi mustahil dikelola, dan SaaS maupun aplikasi self-hosted yang mendukung SSO sekaligus faktor kedua pada praktiknya hampir tidak ada
  • Saya juga memahaminya begitu. Artikel itu melebih-lebihkan beberapa hal, dan ini tampaknya salah satunya
    Ini mirip dengan membuat serangan bernama “GOLDEN ADMIN”: kalau punya kredensial administrator, Anda bisa masuk sebagai admin dan melakukan apa pun yang Anda mau
    Saya paham bahwa buruk jika penyerang bisa mengautentikasi ke mana saja tanpa meninggalkan log, tetapi saya tetap setuju dengan komentar awal
  • Kedengarannya kerentanannya ada di AD FS, dan itu berujung pada tereksposnya private key, sehingga memungkinkan Golden SAML
  • Saya tidak yakin benar bahwa jika infrastruktur SSO ditembus, semua yang menggunakannya menjadi berisiko. Bukan berarti tidak bisa dibayangkan pendekatan yang memberikan SSO sekaligus akuntabilitas
    Menurut saya ada cara-cara yang memungkinkan

• Ini bukan hanya masalah Microsoft. Sebagai security engineer, jika dalam karier ini Anda menginginkan kewarasan sekaligus hasil, Anda harus bekerja di tempat yang punya kapabilitas teknis dan secara budaya peduli pada keamanan, entah karena insentif regulasi dan anggaran yang kuat, atau karena threat model yang sangat terkait dengan keuntungan
  Contoh utama yang sesuai kriteria saya adalah startup pra-IPO yang harus lolos SOC2 dan sejenisnya untuk go public, industri kripto yang punya threat model seperti pencurian key dan insentif keuntungan yang jelas, serta perusahaan teknologi publik yang menyediakan banyak infrastruktur inti
  Namun ada juga perusahaan yang menjadi terlalu besar untuk gagal seperti Microsoft, dan ada yang tim keamanan internalnya tampak kuat seperti Google/Project Zero, Verizon/Paranoids, dan Cloudflare
  Bank punya dana, budaya menghindari risiko, dan regulasi yang kuat sehingga berpeluang, tetapi untuk layanan kesehatan, meski regulasinya kuat, saya sama sekali tidak ingin bekerja di sana karena volume serangan dan sikap acuh tak acuhnya
  Jadi kecuali Anda ingin melihat banyak threat actor nyata dan beragam incident response di tim DART, atau ingin mengerjakan keamanan OS di level sangat rendah, saya tidak merekomendasikan masuk ke Microsoft sebagai security engineer
  Saya tidak tahu banyak tentang pekerjaan security engineer di Apple. Ini juga alasan masa kerja rata-rata dalam karier keamanan kira-kira sekitar 10 tahun. Kewarasan terkikis, dan karena kompensasinya cukup bagus, pada usia 30–40-an orang bisa memakai tabungan mereka untuk melakukan hal lain