Bypass dell'autenticazione in una piattaforma di identità: quando il «pass» di accesso si può falsificare

Molte aziende usano il single sign-on: ti autentichi una volta su un sistema centrale di gestione delle identità (IAM) e poi accedi a decine di applicazioni senza re-inserire la password. Il «lasciapassare» che viaggia tra il sistema centrale e le applicazioni, in molti casi, segue uno standard chiamato SAML.

Questo lasciapassare — in gergo assertion, cioè «asserzione» — è un documento che dice in sostanza «questo utente è chi dice di essere, l'ho verificato io». Per non essere falsificabile, è firmato digitalmente: l'applicazione che lo riceve deve controllare la firma, come un buttafuori controlla il timbro su un biglietto.

La vulnerabilità sta proprio qui: in certe condizioni la piattaforma non verifica correttamente la firma. È come un buttafuori distratto che guarda il biglietto ma non il timbro. Un attaccante può allora fabbricare un lasciapassare che dice «sono l'amministratore» e presentarlo: viene accettato. Il risultato è un accesso completo senza conoscere nessuna password.

Perché è così grave? Perché la piattaforma di identità è la chiave di tutto: chi la controlla può entrare in ogni applicazione collegata. Non è una porta, è il mazzo di chiavi dell'intero edificio.

Non si scassina la serratura: si falsifica il documento che dice «lascialo entrare».

Cosa fare

La priorità è aggiornare alla versione corretta, perché qui non c'è un vero «giro intorno»: il difetto è nel cuore del controllo. Nel frattempo si possono cercare nei log gli accessi sospetti — in particolare lasciapassare SAML con firme anomale o provenienti da fonti inattese:

# Cerca autenticazioni SAML con anomalie nella firma (log IAM)
grep -Ei "saml.*(invalid|unsigned|signature)" /var/log/iam/*.log

# Principi
- Aggiornare subito: la verifica della firma è il controllo rotto
- Richiedere firme su tutta l\u2019asserzione, non solo su una parte
- Secondo fattore (MFA) a valle, come rete di sicurezza

Perché conta. Le falle sull'autenticazione sono tra le più pericolose in assoluto: non rubano un singolo segreto, aggirano l'intero sistema che decide chi può entrare. Dove c'è single sign-on, proteggere la piattaforma di identità è proteggere tutto il resto.