Το LastPass είναι ένας διαχειριστής κωδικών πρόσβασης freemium που αποθηκεύει κρυπτογραφημένους κωδικούς πρόσβασης στο cloud, που αναπτύχθηκε αρχικά από την εταιρεία Marvasol, Inc.
Οι προγραμματιστές του διαχειριστή κωδικών πρόσβασης LastPass , το οποίο χρησιμοποιείται από περισσότερα από 33 εκατομμύρια άτομα και περισσότερες από 100.000 επιχειρήσεις, ειδοποίησαν τους χρήστες για ένα περιστατικό στο οποίο οι εισβολείς απέκτησαν πρόσβαση σε αντίγραφα ασφαλείας του χώρου αποθήκευσης που περιείχαν δεδομένα χρηστών για την υπηρεσία.
Τα δεδομένα περιελάμβαναν πληροφορίες όπως όνομα χρήστη, διεύθυνση, email, τηλέφωνο και διευθύνσεις IP από τις οποίες έγινε πρόσβαση στην υπηρεσία, καθώς και μη κρυπτογραφημένα ονόματα τοποθεσιών που ήταν αποθηκευμένα στη διαχείριση κωδικών πρόσβασης και στοιχεία σύνδεσης, κωδικούς πρόσβασης, δεδομένα φόρμας και κρυπτογραφημένες σημειώσεις που αποθηκεύτηκαν σε αυτούς τους ιστότοπους .
Για την προστασία των συνδέσεων και των κωδικών πρόσβασης στον ιστότοπο , χρησιμοποιήθηκε κρυπτογράφηση AES με ένα κλειδί 256-bit που δημιουργήθηκε από τη συνάρτηση PBKDF2 με βάση έναν κύριο κωδικό πρόσβασης γνωστό μόνο στον χρήστη, με ελάχιστο μέγεθος 12 χαρακτήρων. Η κρυπτογράφηση και η αποκρυπτογράφηση των συνδέσεων και των κωδικών πρόσβασης στο LastPass εκτελείται αποκλειστικά από την πλευρά του χρήστη και η μαντεία του κύριου κωδικού πρόσβασης θεωρείται μη ρεαλιστική στο σύγχρονο υλικό, δεδομένου του μεγέθους του κύριου κωδικού πρόσβασης και του αριθμού των επαναλήψεων PBKDF2 που εφαρμόστηκαν.
Για να πραγματοποιήσουν την επίθεση, χρησιμοποίησαν δεδομένα που έλαβαν οι εισβολείς κατά την τελευταία επίθεση που σημειώθηκε τον Αύγουστο και πραγματοποιήθηκε με παραβίαση του λογαριασμού ενός από τους προγραμματιστές υπηρεσιών.
Η επίθεση του Αυγούστου είχε ως αποτέλεσμα οι εισβολείς να αποκτήσουν πρόσβαση στο περιβάλλον ανάπτυξης , στον κώδικα της εφαρμογής και σε τεχνικές πληροφορίες. Αργότερα αποκαλύφθηκε ότι οι εισβολείς χρησιμοποίησαν δεδομένα από το περιβάλλον ανάπτυξης για να στοχεύσουν έναν άλλο προγραμματιστή, αποκτώντας έτσι κλειδιά πρόσβασης στον χώρο αποθήκευσης στο cloud και κλειδιά για την αποκρυπτογράφηση δεδομένων από τα κοντέινερ που ήταν αποθηκευμένα εκεί. Οι παραβιασμένοι διακομιστές cloud φιλοξενούσαν πλήρη αντίγραφα ασφαλείας των δεδομένων υπηρεσίας του εργαζομένου.
Η αποκάλυψη αυτή αποτελεί μια δραματική ενημέρωση σε μια παραβίαση που αποκάλυψε η LastPass τον Αύγουστο. Ο εκδότης αναγνώρισε ότι οι χάκερ «πήραν τμήματα του πηγαίου κώδικα της LastPass και ορισμένες ιδιόκτητες τεχνικές πληροφορίες». Η εταιρεία δήλωσε τότε ότι οι κύριοι κωδικοί πρόσβασης των πελατών, οι κρυπτογραφημένοι κωδικοί πρόσβασης, τα προσωπικά στοιχεία και άλλα δεδομένα που είναι αποθηκευμένα στους λογαριασμούς των πελατών δεν επηρεάστηκαν.
AES 256-bit και μπορεί να αποκρυπτογραφηθεί μόνο με ένα μοναδικό κλειδί αποκρυπτογράφησης που προέρχεται από τον κύριο κωδικό πρόσβασης κάθε χρήστη χρησιμοποιώντας την αρχιτεκτονική Zero Knowledge», εξήγησε ο CEO του LastPass Karim Toubba, αναφερόμενος στο Advanced Encryption Scheme. Το Zero Knowledge αναφέρεται σε συστήματα αποθήκευσης που είναι αδύνατο να σπάσει ο πάροχος υπηρεσιών. Ο Διευθύνων Σύμβουλος συνέχισε:
Παρέθεσε επίσης αρκετές λύσεις που έλαβε το LastPass για να ενισχύσει την ασφάλειά του μετά την παραβίαση. Τα βήματα περιλαμβάνουν τον παροπλισμό του παραβιασμένου περιβάλλοντος ανάπτυξης και την ανακατασκευή από την αρχή, τη διατήρηση μιας διαχειριζόμενης υπηρεσίας ανίχνευσης και απόκρισης τελικού σημείου και την εναλλαγή όλων των σχετικών διαπιστευτηρίων και πιστοποιητικών που μπορεί να έχουν παραβιαστεί.
Δεδομένης της εμπιστευτικότητας των δεδομένων που αποθηκεύονται από το LastPass, είναι ανησυχητικό το γεγονός ότι έχει ληφθεί ένα τόσο ευρύ φάσμα προσωπικών δεδομένων. Ενώ η διάρρηξη των κατακερματισμών κωδικών πρόσβασης θα απαιτούσε πόρους, δεν αποκλείεται, ειδικά δεδομένης της μεθόδου και της εφευρετικότητας των εισβολέων.
Οι πελάτες του LastPass θα πρέπει να βεβαιωθούν ότι έχουν αλλάξει τον κύριο κωδικό πρόσβασής τους και όλους τους κωδικούς πρόσβασης που είναι αποθηκευμένοι στο vault τους. Θα πρέπει επίσης να βεβαιωθούν ότι χρησιμοποιούν ρυθμίσεις που υπερβαίνουν την προεπιλεγμένη διαμόρφωση του LastPass.
Αυτές οι διαμορφώσεις αναμειγνύουν τους αποθηκευμένους κωδικούς πρόσβασης χρησιμοποιώντας 100100 επαναλήψεις της συνάρτησης παραγωγής κλειδιού βάσει κωδικού πρόσβασης (PBKDF2), ενός συστήματος κατακερματισμού που μπορεί να καταστήσει αδύνατη τη διάσπαση μεγάλων μοναδικών κύριων κωδικών πρόσβασης και οι τυχαία δημιουργούμενες 100100 επαναλήψεις είναι δυστυχώς τροποποιημένοι σύμφωνα με το OWASP-310.com για το PBKDF000 σε συνδυασμό με τον αλγόριθμο κατακερματισμού SHA2 που χρησιμοποιείται από το LastPass.
Οι πελάτες της LastPass θα πρέπει επίσης να είναι σε εγρήγορση σχετικά με τα email ηλεκτρονικού "ψαρέματος" (phishing) και τις τηλεφωνικές κλήσεις που φέρονται να προέρχονται από την LastPass ή άλλες υπηρεσίες που αναζητούν ευαίσθητα δεδομένα, καθώς και άλλες απάτες που εκμεταλλεύονται παραβιασμένα προσωπικά στοιχεία. Η εταιρεία προσφέρει επίσης συγκεκριμένες οδηγίες για εταιρικούς πελάτες που έχουν εφαρμόσει τις υπηρεσίες LastPass Federated Login.
Τέλος, αν ενδιαφέρεστε να μάθετε περισσότερα, μπορείτε να βρείτε τις λεπτομέρειες στον παρακάτω σύνδεσμο.