LastPass je freemium správce hesel, který ukládá šifrovaná hesla v cloudu, původně vyvinutý společností Marvasol, Inc.
Vývojáři správce hesel LastPass , který používá více než 33 milionů lidí a více než 100 000 firem, upozornili uživatele na incident, při kterém útočníci získali přístup k zálohám úložiště obsahujícího uživatelská data služby.
Data zahrnovala informace, jako je uživatelské jméno, adresa, e-mail, telefon a IP adresy, ze kterých bylo ke službě přistupováno, a také nešifrované názvy stránek uložené ve správci hesel a přihlašovací údaje, hesla, data formulářů a šifrované poznámky uložené na těchto stránkách. .
Pro ochranu přihlašovacích údajů a hesel webu bylo použito šifrování AES s 256bitovým klíčem generovaným funkcí PBKDF2 na základě hlavního hesla známého pouze uživateli, s minimální délkou 12 znaků. Šifrování a dešifrování přihlašovacích údajů a hesel v LastPass probíhá výhradně na straně uživatele a uhodnutí hlavního hesla je na moderním hardwaru považováno za nereálné vzhledem k velikosti hlavního hesla a počtu použitých iterací PBKDF2.
K provedení útoku použili data získaná útočníky při posledním útoku, ke kterému došlo v srpnu a byl proveden kompromitováním účtu jednoho z vývojářů služby.
Srpnový útok vedl k tomu, že útočníci získali přístup k vývojovému prostředí , kódu aplikace a technickým informacím. Později se ukázalo, že útočníci použili data z vývojového prostředí k útoku na jiného vývojáře, čímž získali přístupové klíče ke cloudovému úložišti a klíče k dešifrování dat z kontejnerů, které jsou tam uloženy. Napadené cloudové servery hostovaly úplné zálohy servisních dat pracovníka.
Toto odhalení představuje dramatickou aktualizaci porušení bezpečnosti, které společnost LastPass zveřejnila v srpnu. Vydavatel uznal, že hackeři „ukradli části zdrojového kódu LastPassu a určité technické informace“. Společnost tehdy uvedla, že hlavní hesla zákazníků, šifrovaná hesla, osobní údaje a další data uložená v zákaznických účtech nebyla ovlivněna.
256bitový AES a lze jej dešifrovat pouze pomocí jedinečného dešifrovacího klíče odvozeného z hlavního hesla každého uživatele pomocí naší architektury Zero Knowledge,“ vysvětlil generální ředitel LastPass Karim Toubba s odkazem na Advanced Encryption Scheme. Nulové znalosti se týkají úložných systémů, které poskytovatel služeb nemůže prolomit. Generální ředitel pokračoval:
Uvádí také několik řešení, která LastPass použil k posílení své bezpečnosti po narušení. Kroky zahrnují vyřazení napadeného vývojového prostředí z provozu a přebudování od nuly, údržbu spravované služby detekce a odezvy koncových bodů a rotaci všech relevantních pověření a certifikátů, které mohly být kompromitovány.
Vzhledem k důvěrnosti dat uložených LastPass je alarmující, že bylo získáno tak široké spektrum osobních údajů. I když by prolomení hash hesel bylo náročné na zdroje, není to vyloučené, zejména s ohledem na metodu a vynalézavost útočníků.
Zákazníci LastPassu by se měli ujistit, že změnili své hlavní heslo a všechna hesla uložená v trezoru. Měli by se také ujistit, že používají nastavení, která překračují výchozí konfiguraci LastPassu.
Tyto konfigurace zašifrují uložená hesla pomocí 100100 2 iterací funkce odvozování klíče na základě hesla (PBKDF100100), což je hašovací schéma, které může znemožnit prolomení dlouhých, jedinečných hlavních hesel, a náhodně generovaných 310 000 iterací je žalostně pod prahem 2 256 doporučeným OWASP. iterací pro PBKDFXNUMX v kombinaci s hashovacím algoritmem SHAXNUMX používaným LastPass.
Zákazníci LastPassu by si měli dávat pozor také na phishingové e-maily a telefonáty, které se vydávají za pocházející od LastPassu nebo jiných služeb shánějících citlivé údaje, a další podvody zneužívající ohrožené osobní údaje. Společnost také nabízí specifické pokyny pro firemní zákazníky, kteří implementovali služby LastPass Federated Login.
A konečně, pokud máte zájem dozvědět se více, podrobnosti naleznete na následujícím odkazu.