LastPass on freemium paroolihaldur, mis salvestab krüptitud paroole pilves ja mille algselt töötas välja ettevõte Marvasol, Inc.
Paroolihalduri LastPassi , mida kasutab enam kui 33 miljonit inimest ja enam kui 100 000 ettevõtet, arendajad teavitasid kasutajaid intsidendist, kus ründajad said juurdepääsu teenuse kasutajaandmeid sisaldava salvestusruumi varukoopiatele.
Andmed sisaldasid sellist teavet nagu kasutajanimi, aadress, e-posti aadress, telefon ja IP-aadressid, millelt teenusele juurde pääseti, samuti paroolihaldurisse salvestatud krüpteerimata saitide nimed ning nendel saitidel salvestatud sisselogimisandmed, paroolid, vormiandmed ja krüpteeritud märkmed. .
Saidi sisselogimiste ja paroolide kaitsmiseks kasutati AES-krüptimist 256-bitise võtmega, mille genereeris PBKDF2 funktsioon, mis põhines ainult kasutajale teadaoleval põhiparoolil ja mille minimaalne pikkus oli 12 tähemärki. Sisselogimiste ja paroolide krüpteerimist ja dekrüpteerimist LastPassis teostab ainult kasutaja ning põhiparooli äraarvamist peetakse tänapäeva riistvaral ebareaalseks, arvestades põhiparooli suurust ja rakendatud PBKDF2 iteratsioonide arvu.
Rünnaku läbiviimiseks kasutati andmeid, mille ründajad said viimase augustis toimunud ründe käigus ning see viidi läbi ühe teenusearendaja konto kompromiteerimise teel.
Augustikuise rünnaku tulemusel said ründajad juurdepääsu arenduskeskkonnale , rakenduse koodile ja tehnilisele teabele. Hiljem avastati, et ründajad kasutasid arenduskeskkonna andmeid teise arendaja sihtimiseks, saades seeläbi ligipääsuvõtmed pilvesalvestusele ja võtmed seal talletatud konteinerite andmete dekrüpteerimiseks. Ohustatud pilveserverites olid töötaja teenuseandmete täielikud varukoopiad.
Avalikustamine kujutab endast dramaatilist uuendust LastPassi augustis avalikustatud rikkumisele. Väljaandja tunnistas, et häkkerid "võtsid osa LastPassi lähtekoodist ja teatud omandiõigusega kaitstud tehnilist teavet". Ettevõte ütles toona, et klientide peaparoolid, krüpteeritud paroolid, isikuandmed ja muud kliendikontodel talletatud andmed ei olnud mõjutatud.
256-bitine AES ja seda saab dekrüpteerida ainult unikaalse dekrüpteerimisvõtmega, mis on tuletatud iga kasutaja põhiparoolist, kasutades meie nullteadmiste arhitektuuri,” selgitas LastPassi tegevjuht Karim Toubba, viidates Advanced Encryption Scheme'ile. Zero Knowledge viitab salvestussüsteemidele, mida teenusepakkujal on võimatu murda. Tegevjuht jätkas:
Samuti loetles see mitmeid lahendusi, mida LastPass võttis pärast rikkumist turvalisuse tugevdamiseks. Sammud hõlmavad häkitud arenduskeskkonna dekomisjoneerimist ja nullist ülesehitamist, hallatud lõpp-punkti tuvastamise ja reageerimise teenuse säilitamist ning kõigi asjakohaste mandaatide ja sertifikaatide vahetamist, mis võivad olla ohustatud.
Võttes arvesse LastPassi salvestatud andmete konfidentsiaalsust, on murettekitav, et nii palju isikuandmeid on hangitud. Kuigi parooliräside purustamine oleks ressursimahukas, pole see välistatud, eriti arvestades ründajate meetodit ja leidlikkust.
LastPassi kliendid peaksid veenduma, et nad on muutnud oma peaparooli ja kõiki oma seifis talletatud paroole. Samuti peaksid nad veenduma, et kasutavad sätteid, mis ületavad LastPassi vaikesätete seadeid.
Need konfiguratsioonid segavad salvestatud paroole, kasutades paroolipõhise võtme tuletamise funktsiooni (PBKDF100100) 2 100100 iteratsiooni. See on räsiskeem, mis muudab pikkade ainulaadsete peaparoolide lahtimurdmise võimatuks, ja juhuslikult genereeritud 310 000 iteratsiooni jääb OWASP-i soovitatud läve 2 alla. iteratsioonid PBKDF256 jaoks koos LastPassi kasutatava SHAXNUMX räsialgoritmiga.
LastPassi kliendid peaksid olema valvsad ka andmepüügikirjade ja telefonikõnede suhtes, mis väidetavalt pärinevad LastPassilt või muudelt teenustelt, kes otsivad tundlikke andmeid, ning muude pettuste suhtes, mis kasutavad ära ohustatud isikuandmeid. Ettevõte pakub ka konkreetseid juhiseid äriklientidele, kes on juurutanud LastPassi föderaalse sisselogimise teenused.
Lõpuks, kui olete huvitatud lisateabest, leiate üksikasjad järgmiselt lingilt.