LastPass je freemium upravitelj lozinki koji pohranjuje šifrirane lozinke u oblaku, izvorno razvijen od strane tvrtke Marvasol, Inc.
Razvojni programeri upravitelja lozinki LastPass , kojeg koristi više od 33 milijuna ljudi i više od 100 000 tvrtki, obavijestili su korisnike o incidentu u kojem su napadači dobili pristup sigurnosnim kopijama pohrane koja sadrži korisničke podatke za uslugu.
Podaci su uključivali informacije kao što su korisničko ime, adresa, e-pošta, telefon i IP adrese s kojih se pristupilo usluzi, kao i nekriptirana imena web-mjesta pohranjena u upravitelju zaporki i prijave, lozinke, podaci obrasca i šifrirane bilješke pohranjene na tim web-mjestima .
Za zaštitu prijava i lozinki web-mjesta korištena je AES enkripcija s 256-bitnim ključem generiranim funkcijom PBKDF2 na temelju glavne lozinke poznate samo korisniku, minimalne veličine 12 znakova. Enkripcija i dešifriranje prijava i lozinki u LastPassu izvodi se isključivo na strani korisnika, a pogađanje glavne lozinke smatra se nerealnim na modernom hardveru, s obzirom na veličinu glavne lozinke i broj primijenjenih PBKDF2 iteracija.
Za izvođenje napada koristili su se podacima do kojih su napadači došli tijekom posljednjeg napada koji se dogodio u kolovozu, a izveden je kompromitacijom računa jednog od programera usluge.
Napad u kolovozu rezultirao je time da su napadači dobili pristup razvojnom okruženju , kodu aplikacije i tehničkim informacijama. Kasnije je otkriveno da su napadači koristili podatke iz razvojnog okruženja kako bi ciljali drugog programera, čime su dobili pristupne ključeve za pohranu u oblaku i ključeve za dešifriranje podataka iz spremnika koji su tamo pohranjeni. Ugroženi cloud poslužitelji hostirali su potpune sigurnosne kopije servisnih podataka radnika.
Ovo otkriće predstavlja dramatično ažuriranje u vezi s kršenjem sigurnosti koje je LastPass otkrio u kolovozu. Izdavač je priznao da su hakeri "ukrali dijelove izvornog koda LastPass-a i određene vlasničke tehničke informacije". Tvrtka je tada izjavila da glavne lozinke korisnika, šifrirane lozinke, osobni podaci i drugi podaci pohranjeni na korisničkim računima nisu bili pogođeni.
256-bitni AES i može se dešifrirati samo s jedinstvenim ključem za dešifriranje koji se izvodi iz glavne lozinke svakog korisnika koristeći našu Zero Knowledge arhitekturu,” objasnio je izvršni direktor LastPass-a Karim Toubba, govoreći o naprednoj shemi šifriranja. Zero Knowledge odnosi se na sustave za pohranu podataka koje je pružatelju usluga nemoguće probiti. Glavni izvršni direktor je nastavio:
Također je navedeno nekoliko rješenja koja je LastPass poduzeo kako bi ojačao svoju sigurnost nakon proboja. Koraci uključuju deaktiviranje hakiranog razvojnog okruženja i ponovnu izgradnju od nule, održavanje upravljane usluge otkrivanja krajnje točke i odgovora te rotiranje svih relevantnih vjerodajnica i certifikata koji su možda ugroženi.
S obzirom na povjerljivost podataka koje LastPass pohranjuje, alarmantno je da je došlo do tako širokog spektra osobnih podataka. Iako bi probijanje hashova zaporki zahtijevalo mnogo resursa, nije isključeno, posebno s obzirom na metodu i domišljatost napadača.
Korisnici LastPass-a trebali bi se uvjeriti da su promijenili svoju glavnu lozinku i sve lozinke pohranjene u svom trezoru. Također bi trebali osigurati da koriste postavke koje premašuju zadanu konfiguraciju LastPass-a.
Ove konfiguracije šifriraju pohranjene lozinke koristeći 100100 ponavljanja funkcije za izvođenje ključa temeljene na zaporci (PBKDF2), sheme raspršivanja koja može onemogućiti razbijanje dugih jedinstvenih glavnih lozinki, a nasumično generiranih 100100 ponavljanja užasno je ispod praga od 310 000 ponavljanja koji preporučuje OWASP za PBKDF2 u kombinaciji s SHA256 hash algoritmom koji koristi LastPass.
Korisnici LastPass-a također bi trebali biti oprezni zbog phishing e-poruka i telefonskih poziva koji se predstavljaju kao da dolaze od LastPass-a ili drugih usluga koje traže osjetljive podatke i drugih prijevara koje iskorištavaju kompromitirane osobne podatke. Tvrtka također nudi posebne smjernice za poslovne korisnike koji su implementirali usluge LastPass Federated Login.
Konačno, ako ste zainteresirani saznati više, detalje možete pronaći na sljedećoj poveznici.