Slack 主动作废泄露凭证，防范密码泄露与 Cookie 劫持

在 Slack，我们致力于提供超越常规的安全保障。我们不断努力赢得并维护用户的信任，保护每位用户使用体验中不可或缺的关键组件。从密码到会话 cookie，从 token 到 webhook，我们优先保护用户登录平台并保持身份验证所需的一切要素。通过主动措施和利用前沿威胁情报的创新自动化手段，我们致力于保护用户免受潜在数据泄露、cookie 劫持恶意软件以及敏感信息和密钥意外暴露的侵害。

Slack 的策略始终是预测并缓解威胁，使其在影响用户之前被遏制。自 2016 年起，我们便基于针对自身 token 和 webhook 特性定制的正则表达式，主动使在互联网上暴露的凭证失效。这些密钥往往在硬编码到开发代码中并被发布到 GitHub 等平台时意外暴露。由于这些密钥对用户工作区提供不同程度的使用权限，我们的工具在发现 token 和 webhook 后会立即自动使其失效，并通知相应的所有者。

此后，我们希望将同等水平的保护和自动化扩展到 Slack 密码和会话 cookie 上。跨多平台重复使用密码对用户安全构成重大风险。一项 2023 年关于账户接管的研究发现，70% 的受害者报告称他们在多个网站和服务上重复使用同一密码，导致其中 53% 的人有多个账户被接管。从数字上看，截至 2023 年，29% 的美国成年人经历过账户接管，根据政府人口数据，这大约相当于 7750 万受害者。与此同时，密码和会话 cookie 也容易受到专门从用户浏览器中窃取它们的恶意软件的攻击，我们将在下文详细讨论。

这促使我们与战略威胁情报合作伙伴展开合作，他们从数据泄露、暗网论坛、僵尸网络和恶意软件等多种来源收集数据。这些合作关系为我们提供实时的高保真、可操作数据，使我们能够领先于威胁行为者，同时通过使那些威胁行为者窃取的凭证失效且无法使用，让 Slack 成为一个不那么有吸引力的目标。

我们通过合作伙伴的 API 持续摄取这些威胁情报，并主动在我们的用户凭证与出现在威胁行为者数据流中的凭证之间寻找匹配项。当发现匹配时，该凭证会被立即重置，并因已被泄露而被阻止由关联用户在将来重复使用。通常情况下，我们能如此迅速地捕获这些易受攻击的密码，以至于能够在威胁行为者利用它们未经授权访问账户之前就将其重置。

然而，将威胁情报合作伙伴提供的密码与我们数据库中的条目进行比对并非易事。虽然凭证泄露数据以明文形式提供，使恶意行为者可以使用，但 Slack 密码是以加盐哈希的形式安全存储的，因此无法直接比对。为解决这个问题，我们创建了一条数据管道，自动从威胁情报数据源摄取候选凭证，然后对每个密码进行加盐和哈希处理，以便与 Slack 数据库进行比对，之后该数据点会被有意地——且永久地——丢弃。

尽管对每个候选密码进行加盐和哈希处理的过程刻意设计为耗时较长，但我们能够在 Slack 后端的安全范围内，在合理的时间内处理数百万条凭证。我们通过将它们分成较小的批次并在作业队列中并行处理来实现这一点。当我们的后端进程识别到匹配时，关联用户的密码会被立即重置，用户会收到一封说明此活动的电子邮件通知，以及一些他们可以采取的后续操作建议，以进一步提升其账户的安全性。此时，或者如果未找到匹配，管道会丢弃该数据点，因此威胁情报数据永远不会被 Slack 积累或存储。

任何应用或服务的所有 cookie，包括每位 Slack 用户所拥有的 Slack 会话 cookie，都本地存储在用户的设备上。这种本地存储带来了速度、效率、可扩展性和离线功能等好处，但也产生了安全风险。如果威胁行为者能够入侵该用户的设备，他们也可以访问该设备上的 cookie，并利用 Slack cookie 访问用户的工作区。

为主动防范这种可能性，除了监控 Slack 内 cookie 滥用的迹象外，我们还持续监控威胁情报数据流，并及时使被窃取的 Slack cookie 失效，在安全性与用户体验之间取得平衡。这扩展了我们最初实施的系统，该系统代表 Slack 用户发现并使其会话 token 失效，因此 cookie 也能免受恶意使用。

通常情况下，我们的威胁情报合作伙伴发现被劫持的 Slack cookie 的速度非常快，以至于我们不仅能够在恶意行为者有机会滥用之前使每一个 cookie 失效，而且还能以针对每位用户所在地理位置和时区量身定制的方式进行。当 Slack cookie 被失效时，其关联的会话会被标记为终止，一旦终止完成，用户将从其工作区登出。就保护用户账户免受未经授权访问而言，这是好事，但我们也知道，没有人希望在关键对话进行中或在 huddle 演示过程中失去对 Slack 的访问。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）