LastPass je besplatni menadžer lozinki koji čuva šifrovane lozinke u oblaku, koji je prvobitno razvila kompanija Marvasol, Inc.
Programeri programa za upravljanje lozinkama LastPass , koji koristi više od 33 miliona ljudi i više od 100.000 preduzeća, obavijestili su korisnike o incidentu u kojem su napadači dobili pristup sigurnosnim kopijama skladišta koje sadrži korisničke podatke za servis.
Podaci su uključivali informacije kao što su korisničko ime, adresa, e-mail, telefon i IP adrese sa kojih se pristupilo servisu, kao i nekriptirana imena web lokacija pohranjena u upravitelju lozinki i prijave, lozinke, podaci iz obrazaca i šifrirane bilješke pohranjene na ovim stranicama .
Za zaštitu prijava i lozinki na sajtu korištena je AES enkripcija sa 256-bitnim ključem generisanim funkcijom PBKDF2 na osnovu glavne lozinke poznate samo korisniku, minimalne veličine od 12 znakova. Enkripcija i dešifriranje prijava i lozinki u LastPass-u se vrši isključivo na strani korisnika, a pogađanje glavne lozinke se smatra nerealnim na modernom hardveru, s obzirom na veličinu glavne lozinke i broj primijenjenih PBKDF2 iteracija.
Za izvođenje napada koristili su podatke koje su napadači dobili tokom posljednjeg napada koji se dogodio u avgustu, a izveden je kompromitacijom naloga jednog od programera servisa.
Avgustovski napad je rezultirao time da su napadači dobili pristup razvojnom okruženju , kodu aplikacije i tehničkim informacijama. Kasnije je otkriveno da su napadači koristili podatke iz razvojnog okruženja kako bi ciljali drugog programera, čime su dobili ključeve za pristup pohrani u oblaku i ključeve za dešifriranje podataka iz kontejnera koji su tamo pohranjeni. Ugroženi cloud serveri su hostovali potpune sigurnosne kopije servisnih podataka radnika.
Ovo otkriće predstavlja dramatično ažuriranje u vezi s kršenjem sigurnosti koje je LastPass otkrio u augustu. Izdavač je priznao da su hakeri "ukrali dijelove izvornog koda LastPass-a i određene vlasničke tehničke informacije". Kompanija je tada saopštila da glavne lozinke korisnika, šifrirane lozinke, lični podaci i drugi podaci pohranjeni na korisničkim računima nisu pogođeni.
256-bitni AES i može se dešifrirati samo jedinstvenim ključem za dešifriranje izvedenim iz glavne lozinke svakog korisnika koristeći našu arhitekturu Zero Knowledge,” objasnio je izvršni direktor LastPass-a Karim Toubba, pozivajući se na naprednu šemu šifriranja. Nulto znanje se odnosi na sisteme za skladištenje koje je nemoguće da provajder usluga probije. Generalni direktor je nastavio:
Također je navedeno nekoliko rješenja koja je LastPass poduzeo da ojača svoju sigurnost nakon proboja. Koraci uključuju dekomisioniranje hakovanog razvojnog okruženja i ponovnu izgradnju od nule, održavanje upravljane usluge otkrivanja i odgovora krajnjih tačaka, te rotiranje svih relevantnih vjerodajnica i certifikata koji su možda bili ugroženi.
S obzirom na povjerljivost podataka pohranjenih u LastPass-u, alarmantno je da je došlo do tako širokog spektra ličnih podataka. Iako bi razbijanje hešova lozinki zahtijevalo velike resurse, to nije isključeno, posebno s obzirom na metodu i domišljatost napadača.
Korisnici LastPass-a trebaju se uvjeriti da su promijenili svoju glavnu lozinku i sve lozinke pohranjene u svom trezoru. Također bi trebali osigurati da koriste postavke koje premašuju zadanu konfiguraciju LastPass-a.
Ove konfiguracije šifriraju pohranjene lozinke koristeći 100100 iteracija Funkcije izvođenja ključa zasnovane na lozinki (PBKDF2), šeme heširanja koja može onemogućiti probijanje dugih, jedinstvenih glavnih lozinki, a nasumično generiranih 100100 iteracija je užasno ispod praga od 310 koji preporučuje OWASP. iteracije za PBKDF000 u kombinaciji sa SHA2 hash algoritmom koji koristi LastPass.
Korisnici LastPass-a također bi trebali biti oprezni zbog phishing e-poruka i telefonskih poziva koji se predstavljaju kao da dolaze od LastPass-a ili drugih servisa koji traže osjetljive podatke i drugih prevara koje iskorištavaju kompromitirane lične podatke. Kompanija također nudi posebne smjernice za poslovne korisnike koji su implementirali LastPass Federated Login usluge.
Konačno, ako ste zainteresirani da saznate više, detalje možete pronaći na sljedećem linku.