Okta-Sicherheitsvorfall: Ausnutzung der Längenbeschränkung von Bcrypt

Der Okta-Sicherheitsvorfall rührte von der Art und Weise her, wie die Bcrypt-Implementierung die Eingabelänge behandelte. Die 72-Zeichen-Begrenzung von Bcrypt führte zu einem Abschneiden, wodurch die Authentifizierung mit nur teilweisen Benutzernamen und zwischengespeicherten Schlüsseln möglich wurde. Der Artikel analysiert Bcrypt-Bibliotheken in Go, Java, JavaScript, Python und Rust und zeigt, dass viele von ihnen keine Eingabelängenvalidierung durchführen, was Sicherheitsrisiken schafft. Der Autor plädiert für ein verbessertes API-Design, bei dem ungültige Eingaben explizit abgelehnt werden, um solche Schwachstellen zu vermeiden.