LastPass er en freemium password manager, der gemmer krypterede adgangskoder i skyen, oprindeligt udviklet af firmaet Marvasol, Inc.
Udviklerne af adgangskodeadministratoren LastPass , som bruges af mere end 33 millioner mennesker og mere end 100.000 virksomheder, underrettede brugerne om en hændelse, hvor angribere fik adgang til sikkerhedskopier af lageret, der indeholder brugerdata til tjenesten.
Dataene omfattede oplysninger såsom brugernavn, adresse, e-mail, telefon og IP-adresser, hvorfra tjenesten blev tilgået, såvel som ukrypterede webstedsnavne gemt i adgangskodeadministratoren og logins, adgangskoder, formulardata og krypterede noter gemt på disse websteder. .
For at beskytte webstedslogin og adgangskoder blev der brugt AES-kryptering med en 256-bit nøgle genereret af PBKDF2-funktionen baseret på en masteradgangskode, der kun er kendt af brugeren, med en minimumsstørrelse på 12 tegn. Kryptering og dekryptering af login og adgangskoder i LastPass udføres udelukkende på brugerens side, og det anses for urealistisk at gætte masteradgangskoden på moderne hardware i betragtning af størrelsen på masteradgangskoden og antallet af anvendte PBKDF2-iterationer.
For at udføre angrebet brugte de data indhentet af angriberne under det sidste angreb, der fandt sted i august, og det blev udført ved at kompromittere kontoen til en af tjenesteudviklerne.
Angrebet i august resulterede i, at angriberne fik adgang til udviklingsmiljøet , applikationskode og tekniske oplysninger. Det blev senere opdaget, at angriberne brugte data fra udviklingsmiljøet til at målrette en anden udvikler og derved fik adgang til adgangsnøgler til cloud-lagring og nøgler til at dekryptere data fra de containere, der var gemt der. De kompromitterede cloud-servere hostede fulde sikkerhedskopier af arbejderens servicedata.
Afsløringen repræsenterer en dramatisk opdatering af et brud, som LastPass afslørede i august. Udgiveren anerkendte, at hackere "tog dele af LastPass' kildekode og visse fortrolige tekniske oplysninger." Virksomheden sagde på daværende tidspunkt, at kundernes masteradgangskoder, krypterede adgangskoder, personlige oplysninger og andre data, der er gemt på kundekonti, ikke var berørt.
256-bit AES og kan kun dekrypteres med en unik dekrypteringsnøgle afledt af hver brugers hovedadgangskode ved hjælp af vores Zero Knowledge-arkitektur,” forklarede LastPass CEO Karim Toubba med henvisning til Advanced Encryption Scheme. Zero Knowledge refererer til lagersystemer, som er umulige for tjenesteudbyderen at knække. Den administrerende direktør fortsatte:
Det listede også flere løsninger, som LastPass tog for at styrke sin sikkerhed efter bruddet. Trin omfatter dekommissionering af det hackede udviklingsmiljø og genopbygning fra bunden, vedligeholdelse af en administreret slutpunktsdetektions- og responstjeneste og rotation af alle relevante legitimationsoplysninger og certifikater, der kan være blevet kompromitteret.
I betragtning af fortroligheden af de data, der er lagret af LastPass, er det alarmerende, at der er indhentet en så bred vifte af personlige data. Selvom det ville være ressourcekrævende at knække password-hash, er det ikke udelukket, især i betragtning af angribernes metode og opfindsomhed.
LastPass-kunder bør sørge for at have ændret deres hovedadgangskode og alle adgangskoder, der er gemt i deres arkiv. De bør også sørge for at bruge indstillinger, der overstiger LastPass' standardkonfiguration.
Disse konfigurationer forvrider lagrede adgangskoder ved hjælp af 100100 iterationer af Password Based Key Derivation Function (PBKDF2), et hashing-skema, der kan gøre det umuligt at knække lange, unikke hovedadgangskoder, og de tilfældigt genererede 100100 iterationer er desværre under OWASP-anbefalet tærskel på 310 iterationer for PBKDF000 i kombination med SHA2 hash-algoritmen brugt af LastPass.
LastPass-kunder bør også være opmærksomme på phishing-e-mails og telefonopkald, der angiveligt kommer fra LastPass eller andre tjenester, der søger følsomme data, og andre svindelnumre, der udnytter kompromitterede personlige oplysninger. Virksomheden tilbyder også specifik vejledning til virksomhedskunder, der har implementeret LastPass Federated Login-tjenester.
Endelig, hvis du er interesseret i at lære mere, kan du finde detaljerne på følgende link.