云端令牌窃取.

从云身份服务窃取 OAuth、SAML 或签名令牌,并重放以冒充用户或服务,无需密码。 它属于网络安全的 云安全 分类。

从云身份服务窃取 OAuth、SAML 或签名令牌,并重放以冒充用户或服务,无需密码。

云端令牌窃取针对现代云身份系统颁发的短时令牌、刷新令牌和签名密钥。攻击者通过受感染终端、浏览器 cookie、邮箱同步日志、CI/CD 变量或滥用 OAuth 同意授权来获取这些令牌。2023 年 Microsoft Storm-0558 事件中,被盗的 Microsoft Account 消费者签名密钥被用于伪造 Exchange Online 访问令牌并访问政府邮箱,说明签名密钥泄露的破坏范围极其严重。防御措施包括硬件保护的密钥存储(HSM)、基于设备态势的条件访问、令牌绑定与持续访问评估、令牌签发的异常检测,以及对签名材料的频繁轮换。

针对 云端令牌窃取 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 令牌重放, OAuth 令牌窃取。