Boris Drogia und Florian Groß, Security Consultants bei Bechtle, veranschaulichen in ihrem Vortrag anhand praxisnaher Beispiele, wie Angreifer über OAuth- und Consent-Prozesse in Microsoft 365 und Entra ID Zugriffe erschleichen können. Sie zeigen auf, dass gängige Schutzmaßnahmen wie MFA und Conditional Access nach dem Authentifizierungsprozess oftmals wirkungslos sind. Anhand einer Demo demonstrieren sie den Unterschied und die Risiken zwischen Delegated und Application Permissions. Der Vortrag schließt mit konkreten Empfehlungen, wie sich Unternehmen gegen solche Angriffsvektoren besser absichern können.
Im Vortrag "From Consent to Compromise" geben Boris Drogia und Florian Groß einen ausführlichen Einblick in die immer wichtiger werdenden Risiken im Zusammenhang mit OAuth und Konsent-Verfahren rund um Microsoft 365 und Entra ID. Sie starten mit einer Darstellung der aktuellen Angriffslandschaft, zu deren prominentesten Beispielen Token-Missbrauch, Missbrauch von privilegierten Apps, sowie Persistence-Backdoors und Identitätseskalation gehören. Das Grundproblem: Nach der Authentifizierung greifen grundlegende Schutzmaßnahmen wie Conditional Access oder Phishing-resistente Authentifizierung (z. B. FIDO2) nicht mehr, sobald der Nutzer ein gültiges Session-Cookie besitzt.
Mit anschaulichen Beispielen wie dem Sales Loft Drift und dem Midnight Blizzard Angriff illustrieren sie, wie Angreifer über legitime OAuth-Anfragen oder Admin-Consents Zugriff auf sensitive Daten von Unternehmen und auch deren Kunden erlangen können – selbst bei großen Konzernen wie Microsoft und Cloudflare. Exemplarisch zeigen sie eine eigene Demo, bei der sowohl ein normaler Nutzer als auch ein Administrator ahnungslos einer manipulierten Feedback-App weitreichende Berechtigungen (u. a. Zugriff auf E-Mails aller Benutzer) einräumen. Besonders problematisch: Ein Klick genügt, und in vielen Unternehmen klicken Nutzer wie auch Admins routinemäßig auf „Accept“, ohne die mitgegebenen Berechtigungen genau zu prüfen.
Sie erklären anschaulich die Unterscheidung zwischen "Delegated" (im Namen des Nutzers agierend) und "Application" Permissions (Anwendungszugriff unabhängig vom Benutzerkontext) sowie die damit verbundenen Risiken. Einmal ausgestellte Access Tokens bleiben für ihre Laufzeit gültig, unabhängig davon, ob ein Account danach deaktiviert wird. Ein möglicher Schutz liegt in der Härtung der Consent-Prozesse, Begrenzung von User-Consents, strikter Prüfung neuer Apps durch Admins und dem Einsatz von Monitoringtools wie Microsoft Defender for Cloud Apps. Abschließend betonen sie, dass sich der Fokus der Angreifer zunehmend in diese Bereiche verlagert und Unternehmen zeitnah ihre Prozesse, Rechtevergabe und Monitoring-Mechanismen anpassen sollten.
