LastPass হল একটি ফ্রিমিয়াম পাসওয়ার্ড ম্যানেজার যা ক্লাউডে এনক্রিপ্ট করা পাসওয়ার্ড সংরক্ষণ করে, যা মূলত কোম্পানি Marvasol, Inc দ্বারা তৈরি।
৩৩ মিলিয়নেরও বেশি মানুষ এবং ১ লক্ষেরও বেশি ব্যবসা প্রতিষ্ঠান দ্বারা ব্যবহৃত পাসওয়ার্ড ম্যানেজার লাস্টপাস (LastPass) -এর ডেভেলপাররা ব্যবহারকারীদের এমন একটি ঘটনা সম্পর্কে অবহিত করেছে, যেখানে আক্রমণকারীরা পরিষেবাটির ব্যবহারকারীর ডেটা ধারণকারী স্টোরেজের ব্যাকআপগুলিতে অ্যাক্সেস লাভ করেছিল।
ডেটাতে ব্যবহারকারীর নাম, ঠিকানা, ইমেল, ফোন এবং আইপি ঠিকানাগুলির মতো তথ্য অন্তর্ভুক্ত ছিল যেগুলি থেকে পরিষেবাটি অ্যাক্সেস করা হয়েছিল, সেইসাথে পাসওয়ার্ড ম্যানেজারে সংরক্ষিত এনক্রিপ্ট না করা সাইটের নাম এবং লগইন, পাসওয়ার্ড, ফর্ম ডেটা এবং এই সাইটগুলিতে সংরক্ষিত এনক্রিপ্ট করা নোট। .
সাইটের লগইন এবং পাসওয়ার্ড সুরক্ষিত রাখতে, শুধুমাত্র ব্যবহারকারীর জানা একটি মাস্টার পাসওয়ার্ডের উপর ভিত্তি করে PBKDF2 ফাংশন দ্বারা তৈরি একটি ২৫৬-বিট কী সহ AES এনক্রিপশন ব্যবহার করা হয়েছিল , যার ন্যূনতম আকার ছিল ১২ অক্ষর। LastPass-এ লগইন এবং পাসওয়ার্ডের এনক্রিপশন ও ডিক্রিপশন শুধুমাত্র ব্যবহারকারীর পক্ষেই সম্পন্ন করা হয়, এবং মাস্টার পাসওয়ার্ডের আকার ও ব্যবহৃত PBKDF2 পুনরাবৃত্তির সংখ্যার কারণে আধুনিক হার্ডওয়্যারে এটি অনুমান করা অবাস্তব বলে মনে করা হয়।
আক্রমণ চালানোর জন্য, তারা আগস্টে ঘটে যাওয়া সর্বশেষ হামলার সময় আক্রমণকারীদের দ্বারা প্রাপ্ত ডেটা ব্যবহার করেছিল এবং এটি পরিষেবা বিকাশকারীদের একজনের অ্যাকাউন্টের সাথে আপস করে চালানো হয়েছিল।
আগস্ট মাসের আক্রমণের ফলে আক্রমণকারীরা ডেভেলপমেন্ট এনভায়রনমেন্ট , অ্যাপ্লিকেশন কোড এবং প্রযুক্তিগত তথ্যে প্রবেশাধিকার লাভ করে। পরবর্তীতে জানা যায় যে, আক্রমণকারীরা ডেভেলপমেন্ট এনভায়রনমেন্টের ডেটা ব্যবহার করে আরেকজন ডেভেলপারকে লক্ষ্যবস্তু বানায়, যার মাধ্যমে তারা ক্লাউড স্টোরেজের অ্যাক্সেস কী এবং সেখানে সংরক্ষিত কন্টেইনারগুলো থেকে ডেটা ডিক্রিপ্ট করার কী সংগ্রহ করে। ক্ষতিগ্রস্ত ক্লাউড সার্ভারগুলোতে ওয়ার্কারের সার্ভিস ডেটার সম্পূর্ণ ব্যাকআপ হোস্ট করা ছিল।
এই তথ্য প্রকাশটি আগস্ট মাসে লাস্টপাস কর্তৃক প্রকাশিত একটি ডেটা ফাঁসের ঘটনার একটি চাঞ্চল্যকর হালনাগাদ। প্রকাশক স্বীকার করেছে যে হ্যাকাররা “লাস্টপাসের সোর্স কোডের কিছু অংশ এবং কিছু মালিকানাধীন প্রযুক্তিগত তথ্য হাতিয়ে নিয়েছে।” সংস্থাটি তখন জানিয়েছিল যে গ্রাহকদের মাস্টার পাসওয়ার্ড, এনক্রিপ্টেড পাসওয়ার্ড, ব্যক্তিগত তথ্য এবং গ্রাহক অ্যাকাউন্টে সংরক্ষিত অন্যান্য ডেটা এতে প্রভাবিত হয়নি।
256-বিট AES এবং শুধুমাত্র আমাদের জিরো নলেজ আর্কিটেকচার ব্যবহার করে প্রতিটি ব্যবহারকারীর মাস্টার পাসওয়ার্ড থেকে প্রাপ্ত একটি অনন্য ডিক্রিপশন কী দিয়ে ডিক্রিপ্ট করা যেতে পারে, "উন্নত এনক্রিপশন স্কিমকে উল্লেখ করে লাস্টপাসের সিইও করিম তোব্বা ব্যাখ্যা করেছেন। জিরো নলেজ বলতে এমন স্টোরেজ সিস্টেমকে বোঝায় যা পরিষেবা প্রদানকারীর পক্ষে ক্র্যাক করা অসম্ভব। সিইও অব্যাহত রেখেছেন:
এটি লঙ্ঘনের পরে তার নিরাপত্তা জোরদার করার জন্য LastPass নেওয়া বেশ কয়েকটি সমাধান তালিকাভুক্ত করেছে। পদক্ষেপগুলির মধ্যে রয়েছে হ্যাকড ডেভেলপমেন্ট এনভায়রনমেন্ট ডিকমিশন করা এবং স্ক্র্যাচ থেকে পুনর্নির্মাণ, একটি পরিচালিত এন্ডপয়েন্ট সনাক্তকরণ এবং প্রতিক্রিয়া পরিষেবা বজায় রাখা এবং আপোস করা হতে পারে এমন সমস্ত প্রাসঙ্গিক শংসাপত্র এবং শংসাপত্রগুলি ঘোরানো।
LastPass দ্বারা সংরক্ষিত ডেটার গোপনীয়তার পরিপ্রেক্ষিতে, এটি উদ্বেগজনক যে এত বিস্তৃত ব্যক্তিগত ডেটা প্রাপ্ত হয়েছে৷ যদিও পাসওয়ার্ড হ্যাশ ক্র্যাক করা সম্পদ নিবিড় হবে, এটি প্রশ্নের বাইরে নয়, বিশেষ করে আক্রমণকারীদের পদ্ধতি এবং চাতুর্যের কারণে।
LastPass গ্রাহকদের নিশ্চিত করতে হবে যে তারা তাদের মাস্টার পাসওয়ার্ড এবং ভল্টে সংরক্ষিত সমস্ত পাসওয়ার্ড পরিবর্তন করেছেন । তাদের এও নিশ্চিত করতে হবে যে তারা LastPass-এর ডিফল্ট কনফিগারেশনের চেয়ে উন্নত সেটিংস ব্যবহার করছেন।
এই কনফিগারেশনগুলি পাসওয়ার্ড ভিত্তিক কী ডেরিভেশন ফাংশন (PBKDF100100) এর 2 পুনরাবৃত্তি ব্যবহার করে সংরক্ষিত পাসওয়ার্ডগুলিকে স্ক্র্যাম্বল করে, একটি হ্যাশিং স্কিম যা দীর্ঘ, অনন্য মাস্টার পাসওয়ার্ডগুলি ক্র্যাক করা অসম্ভব করে তোলে এবং এলোমেলোভাবে উত্পন্ন 100100 পুনরাবৃত্তিগুলি OWASP-এর অধীনে দুর্ভাগ্যজনকভাবে, LastPass দ্বারা ব্যবহৃত SHA310 হ্যাশ অ্যালগরিদমের সংমিশ্রণে PBKDF000 এর জন্য পুনরাবৃত্তি।
LastPass গ্রাহকদের LastPass বা অন্য কোনো পরিষেবার নাম ব্যবহার করে পাঠানো ফিশিং ইমেল ও ফোন কল এবং ফাঁস হওয়া ব্যক্তিগত তথ্যকে কাজে লাগিয়ে করা অন্যান্য স্ক্যামের বিরুদ্ধেও সতর্ক থাকা উচিত। যে সকল এন্টারপ্রাইজ গ্রাহক LastPass ফেডারেটেড লগইন পরিষেবা চালু করেছেন, কোম্পানিটি তাদের জন্যও নির্দিষ্ট নির্দেশনা প্রদান করে।
অবশেষে, আপনি যদি আরও জানতে আগ্রহী হন, তাহলে নিচের লিঙ্কে বিস্তারিত তথ্য পেয়ে যাবেন ।