LastPass ist ein Freemium-Passwortmanager, der verschlüsselte Passwörter in der Cloud speichert und ursprünglich von der Firma Marvasol, Inc. entwickelt wurde.
Die Entwickler des Passwortmanagers LastPass , der von mehr als 33 Millionen Menschen und mehr als 100.000 Unternehmen genutzt wird, haben die Nutzer über einen Vorfall informiert, bei dem Angreifer Zugriff auf Sicherungskopien des Speichers erlangten , der die Nutzerdaten des Dienstes enthielt.
Zu den Daten gehörten Informationen wie Benutzername, Adresse, E-Mail-, Telefon- und IP-Adressen, von denen aus auf den Dienst zugegriffen wurde, sowie unverschlüsselte Site-Namen, die im Passwort-Manager gespeichert sind, und Logins, Passwörter, Formulardaten und verschlüsselte Notizen, die auf diesen Sites gespeichert sind .
Zum Schutz von Anmeldedaten und Passwörtern wurde eine AES-Verschlüsselung mit einem 256-Bit-Schlüssel verwendet. Dieser wurde mithilfe der PBKDF2-Funktion auf Basis eines nur dem Benutzer bekannten Masterpassworts mit einer Mindestlänge von 12 Zeichen generiert. Die Ver- und Entschlüsselung von Anmeldedaten und Passwörtern in LastPass erfolgt ausschließlich auf Benutzerseite. Das Erraten des Masterpassworts gilt angesichts seiner Länge und der Anzahl der angewendeten PBKDF2-Iterationen auf moderner Hardware als unrealistisch.
Um den Angriff durchzuführen, verwendeten sie Daten, die von den Angreifern während des letzten Angriffs im August erhalten wurden, und er wurde durchgeführt, indem das Konto eines der Dienstentwickler kompromittiert wurde.
Der Angriff im August ermöglichte es den Angreifern, Zugriff auf die Entwicklungsumgebung , den Anwendungscode und technische Informationen zu erlangen. Später stellte sich heraus, dass die Angreifer Daten aus der Entwicklungsumgebung nutzten, um einen anderen Entwickler anzugreifen und so Zugriffsschlüssel für den Cloud-Speicher sowie Schlüssel zur Entschlüsselung der dort gespeicherten Containerdaten zu erlangen. Auf den kompromittierten Cloud-Servern befanden sich vollständige Backups der Dienstdaten des betroffenen Mitarbeiters.
Diese Enthüllung stellt eine dramatische Weiterentwicklung des Datenlecks dar, das LastPass im August bekannt gegeben hatte. Der Herausgeber bestätigte, dass Hacker „Teile des Quellcodes von LastPass und bestimmte firmeneigene technische Informationen entwendet“ hatten. Das Unternehmen gab damals an, dass die Masterpasswörter, verschlüsselten Passwörter, persönlichen Daten und andere in Kundenkonten gespeicherte Daten nicht betroffen seien.
256-Bit-AES und kann nur mit einem eindeutigen Entschlüsselungsschlüssel entschlüsselt werden, der mithilfe unserer Zero-Knowledge-Architektur aus dem Master-Passwort jedes Benutzers abgeleitet wird“, erklärte Karim Toubba, CEO von LastPass, in Bezug auf das Advanced Encryption Scheme. Zero Knowledge bezieht sich auf Speichersysteme, die für den Dienstleister unmöglich zu knacken sind. Der CEO fuhr fort:
Es listete auch mehrere Lösungen auf, die LastPass ergriffen hat, um seine Sicherheit nach der Verletzung zu erhöhen. Zu den Schritten gehören die Außerbetriebnahme der gehackten Entwicklungsumgebung und der Neuaufbau von Grund auf, die Aufrechterhaltung eines verwalteten Endpoint Detection and Response Service und die Rotation aller relevanten Anmeldeinformationen und Zertifikate, die möglicherweise kompromittiert wurden.
Angesichts der Vertraulichkeit der von LastPass gespeicherten Daten ist es alarmierend, dass so viele personenbezogene Daten erlangt wurden. Das Knacken von Passwort-Hashes wäre zwar ressourcenintensiv, aber nicht ausgeschlossen, insbesondere angesichts der Methode und des Einfallsreichtums der Angreifer.
LastPass-Kunden sollten sicherstellen, dass sie ihr Master-Passwort und alle in ihrem Tresor gespeicherten Passwörter geändert haben. Sie sollten außerdem sicherstellen, dass sie Einstellungen verwenden, die über die Standardkonfiguration von LastPass hinausgehen.
Diese Konfigurationen verschlüsseln gespeicherte Passwörter mit 100100 Iterationen der Password Based Key Derivation Function (PBKDF2), einem Hash-Schema, das es unmöglich machen kann, lange, eindeutige Master-Passwörter zu knacken, und die zufällig generierten 100100 Iterationen liegen kläglich unter dem von OWASP empfohlenen Schwellenwert von 310 Iterationen für PBKDF000 in Kombination mit dem von LastPass verwendeten SHA2-Hash-Algorithmus.
LastPass-Kunden sollten wachsam gegenüber Phishing-E-Mails und -Anrufen sein, die angeblich von LastPass oder anderen Diensten stammen und auf sensible Daten abzielen, sowie vor anderen Betrugsmaschen, die kompromittierte persönliche Informationen ausnutzen. Das Unternehmen bietet zudem spezielle Hinweise für Unternehmenskunden, die LastPass Federated Login implementiert haben.
Sollten Sie mehr erfahren wollen, finden Sie die Details unter folgendem Link.