Incidente de Segurança Okta: Explorando a Limitação de Comprimento do Bcrypt

O incidente de segurança da Okta surgiu da forma como sua implementação do Bcrypt lidava com o comprimento da entrada. O limite de 72 caracteres do Bcrypt causou truncamento, permitindo a autenticação com apenas nomes de usuário parciais e chaves em cache. O artigo analisa as bibliotecas Bcrypt em Go, Java, JavaScript, Python e Rust, revelando que muitas delas não possuem validação do comprimento da entrada, criando riscos de segurança. O autor defende o aprimoramento do design da API, rejeitando explicitamente entradas inválidas para evitar tais vulnerabilidades.