Уязвимость в системе управления Apple Business Manager ставит под угрозу корпоративную безопасность

Администраторы сервиса Apple Business Manager (ABM), отвечающие за настройку тысяч корпоративных устройств, до сих пор лишены возможности использовать федеративную аутентификацию. Несмотря на высокий уровень безопасности платформ Apple, политика компании в отношении защиты учетных записей администраторов остается недостаточно строгой, создавая потенциальную брешь в защите корпоративных сетей.

Риски традиционной аутентификации

Проблема заключается в том, что учетные записи администраторов и менеджеров по персоналу в ABM вынуждены использовать стандартный вход в Apple Account с двухфакторной аутентификацией. В качестве второго фактора чаще всего выступает SMS-код или голосовой вызов. Эксперты отмечают, что такой подход уязвим для ряда атак, которые ставят под удар безопасность тысяч устройств организации:

• Замена SIM-карты (SIM swapping): злоумышленники получают контроль над номером телефона жертвы через мобильного оператора, перехватывая все входящие SMS-сообщения.
• Фишинг: создание поддельных страниц авторизации для кражи учетных данных и кодов подтверждения в режиме реального времени.
• Перехват сообщений: использование уязвимостей протоколов передачи данных в сетях сотовой связи для доступа к SMS-кодам.

Серьезность последствий

Компрометация учетной записи администратора ABM дает злоумышленникам широкие возможности для деструктивных действий. В их числе перенаправление корпоративных устройств на сторонние MDM-серверы (системы управления мобильными устройствами), удаленная очистка данных, а также принудительная установка вредоносных приложений или профилей конфигурации. Ситуация усугубляется тем, что Apple ограничивает количество администраторов в каждой системе ABM вне зависимости от масштабов компании, что делает атаку на конкретных лиц крайне эффективным вектором вторжения.

Рекомендации по усилению защиты

Для минимизации рисков при использовании текущих инструментов Apple специалистам рекомендуется предпринять ряд превентивных мер:

• Использовать выделенный номер телефона, предназначенный исключительно для работы с ABM, не привязывая его к другим сервисам.
• Активировать у мобильного оператора услугу защиты от замены SIM-карты.
• Минимизировать количество активных учетных записей администраторов, чтобы сократить возможную «поверхность атаки».

Необходимые изменения со стороны Apple

Обозреватели подчеркивают, что Apple обладает всеми необходимыми технологиями для устранения данной проблемы. Оптимальным решением для повышения безопасности административных аккаунтов эксперты называют внедрение следующих инструментов:

• Расширение поддержки современных аутентификаторов для аккаунтов ABM.
• Внедрение технологии Passkeys для беспарольного входа.
• Реализация поддержки стандарта FIDO2 для использования аппаратных ключей безопасности.
• Настройка условного доступа (conditional access), блокирующего входы из подозрительных локаций.
• Интеграция функции входа через Apple, использующей биометрические данные в качестве второго фактора.

Внедрение этих стандартов, которые уже успешно работают в других частях экосистемы Apple, позволит значительно укрепить безопасность управления корпоративным парком устройств.

Твитнуть