LastPass est un gestionnaire de mots de passe freemium qui stocke les mots de passe cryptés dans le cloud, développé à l'origine par la société Marvasol, Inc.
Les développeurs du gestionnaire de mots de passe LastPass , utilisé par plus de 33 millions de personnes et plus de 100 000 entreprises, ont informé les utilisateurs d'un incident au cours duquel des pirates ont accédé aux sauvegardes du stockage contenant les données des utilisateurs du service.
Les données comprenaient des informations telles que le nom d'utilisateur, l'adresse, l'e-mail, le téléphone et les adresses IP à partir desquelles le service a été consulté, ainsi que les noms de sites non cryptés stockés dans le gestionnaire de mots de passe et les identifiants, mots de passe, données de formulaire et notes cryptées stockées sur ces sites. .
Pour protéger les identifiants et mots de passe du site , le chiffrement AES a été utilisé avec une clé de 256 bits générée par la fonction PBKDF2 à partir d'un mot de passe principal connu uniquement de l'utilisateur, d'une longueur minimale de 12 caractères. Le chiffrement et le déchiffrement des identifiants et mots de passe dans LastPass sont effectués exclusivement côté utilisateur, et deviner le mot de passe principal est considéré comme improbable sur le matériel moderne, compte tenu de sa longueur et du nombre d'itérations PBKDF2 appliquées.
Pour mener à bien l'attaque, ils ont utilisé des données obtenues par les attaquants lors de la dernière attaque survenue en août et elle a été réalisée en compromettant le compte de l'un des développeurs de services.
L'attaque d'août a permis aux attaquants d'accéder à l'environnement de développement , au code source de l'application et aux informations techniques. Il a été découvert par la suite que les attaquants avaient utilisé des données de l'environnement de développement pour cibler un autre développeur, obtenant ainsi les clés d'accès au stockage cloud et les clés de déchiffrement des données des conteneurs qui y étaient stockés. Les serveurs cloud compromis hébergeaient des sauvegardes complètes des données du service du développeur.
Cette révélation constitue une mise à jour importante par rapport à la faille de sécurité annoncée par LastPass en août. L'éditeur a reconnu que des pirates informatiques avaient « dérobé des portions du code source de LastPass ainsi que certaines informations techniques confidentielles ». L'entreprise avait alors affirmé que les mots de passe principaux, les mots de passe chiffrés, les informations personnelles et les autres données stockées dans les comptes clients n'avaient pas été affectés.
AES 256 bits et ne peut être déchiffré qu'avec une clé de déchiffrement unique dérivée du mot de passe principal de chaque utilisateur à l'aide de notre architecture Zero Knowledge », a expliqué Karim Toubba, PDG de LastPass, faisant référence au schéma de chiffrement avancé. Zero Knowledge fait référence à des systèmes de stockage impossibles à casser pour le fournisseur de services. Le PDG a poursuivi :
Il a également répertorié plusieurs solutions que LastPass a prises pour renforcer sa sécurité après la violation. Les étapes comprennent la mise hors service de l'environnement de développement piraté et sa reconstruction à partir de zéro, la maintenance d'un service géré de détection et de réponse des terminaux, et la rotation de toutes les informations d'identification et certificats pertinents qui peuvent avoir été compromis.
Compte tenu de la confidentialité des données stockées par LastPass, il est alarmant qu'un si large éventail de données personnelles ait été obtenu. Alors que craquer les hachages de mot de passe nécessiterait beaucoup de ressources, ce n'est pas hors de question, surtout compte tenu de la méthode et de l'ingéniosité des attaquants.
Les clients de LastPass doivent s'assurer d'avoir modifié leur mot de passe principal ainsi que tous les mots de passe enregistrés dans leur coffre-fort. Ils doivent également s'assurer d'utiliser des paramètres plus performants que la configuration par défaut de LastPass.
Ces configurations brouillent les mots de passe stockés à l'aide de 100100 itérations de la fonction de dérivation de clé basée sur le mot de passe (PBKDF2), un schéma de hachage qui peut rendre impossible le déchiffrage de mots de passe maîtres longs et uniques, et les 100100 itérations générées de manière aléatoire sont malheureusement inférieures au seuil de 310 000 recommandé par l'OWASP. itérations pour PBKDF2 en combinaison avec l'algorithme de hachage SHA256 utilisé par LastPass.
Les clients de LastPass doivent également rester vigilants face aux courriels et appels téléphoniques frauduleux se faisant passer pour LastPass ou d'autres services, visant à obtenir des données sensibles, ainsi qu'aux autres escroqueries exploitant des informations personnelles compromises. L'entreprise propose également des conseils spécifiques aux entreprises clientes ayant mis en œuvre les services d'authentification fédérée LastPass.
Enfin, si vous souhaitez en savoir plus, vous trouverez les détails en suivant ce lien.