A LastPass egy ingyenes jelszókezelő, amely a titkosított jelszavakat a felhőben tárolja, és amelyet eredetileg a Marvasol, Inc. fejlesztett ki.
A több mint 33 millió ember és több mint 100 000 vállalkozás által használt LastPass jelszókezelő fejlesztői értesítették a felhasználókat egy olyan incidensről, amelyben a támadók hozzáfértek a szolgáltatás felhasználói adatait tartalmazó tárhely biztonsági mentéseihez.
Az adatok olyan információkat tartalmaztak, mint a felhasználónév, cím, e-mail, telefon és IP-címek, amelyekről a szolgáltatást elérték, valamint a jelszókezelőben tárolt titkosítatlan webhelynevek, valamint az ezeken az oldalakon tárolt bejelentkezési adatok, jelszavak, űrlapadatok és titkosított megjegyzések. .
A webhely bejelentkezéseinek és jelszavainak védelme érdekében AES titkosítást alkalmaztak egy 256 bites kulccsal, amelyet a PBKDF2 függvény generált egy, csak a felhasználó által ismert, legalább 12 karakter hosszú fő jelszó alapján. A bejelentkezések és jelszavak titkosítása és visszafejtése a LastPass-ban kizárólag a felhasználó oldalán történik, és a fő jelszó kitalálása a modern hardvereken irreálisnak tekinthető, tekintettel a fő jelszó méretére és az alkalmazott PBKDF2 iterációk számára.
A támadás végrehajtásához a támadók által a legutóbbi augusztusi támadás során megszerzett adatokat használták fel, és azt az egyik szolgáltatásfejlesztő fiókjának feltörésével hajtották végre.
Az augusztusi támadás eredményeként a támadók hozzáférést szereztek a fejlesztői környezethez , az alkalmazáskódhoz és a technikai információkhoz. Később kiderült, hogy a támadók a fejlesztői környezetből származó adatokat használták fel egy másik fejlesztő megcélzására, ezáltal hozzáférési kulcsokat szerezve a felhőalapú tárhelyhez, valamint kulcsokat az ott tárolt konténerek adatainak visszafejtéséhez. A feltört felhőszerverek a munkavállaló szolgáltatási adatainak teljes biztonsági mentését tárolták.
A nyilvánosságra hozatal drámai frissítést jelent a LastPass által augusztusban nyilvánosságra hozott incidenshez képest. A kiadó elismerte, hogy a hackerek „elvitték a LastPass forráskódjának részeit és bizonyos védett műszaki információkat”. A vállalat akkor azt nyilatkozta, hogy az ügyfelek mesterjelszavai, titkosított jelszavai, személyes adatai és az ügyfélfiókokban tárolt egyéb adatok nem érintettek.
256 bites AES, és csak egyedi visszafejtési kulccsal lehet visszafejteni, amely az egyes felhasználók fő jelszavából származik a Zero Knowledge architektúránk segítségével” – magyarázta Karim Toubba, a LastPass vezérigazgatója az Advanced Encryption Scheme-re utalva. A Zero Knowledge olyan tárolórendszerekre utal, amelyeket a szolgáltató nem képes feltörni. A vezérigazgató így folytatta:
Számos olyan megoldást is felsorolt, amelyeket a LastPass a biztonságának megerősítése érdekében tett a jogsértés után. A lépések közé tartozik a feltört fejlesztői környezet leszerelése és a nulláról történő újjáépítés, a felügyelt végpont-észlelési és válaszszolgáltatás fenntartása, valamint az összes releváns hitelesítő adat és tanúsítvány cseréje, amely feltörhetett.
Tekintettel a LastPass által tárolt adatok titkosságára, riasztó, hogy ilyen széles körű személyes adatokhoz jutottak. Bár a jelszókivonatok feltörése erőforrásigényes lenne, ez nem kizárt, különösen a támadók módszere és találékonysága miatt.
A LastPass ügyfeleinek meg kell győződniük arról, hogy megváltoztatták a fő jelszavukat és az összes, a trezorukban tárolt jelszót. Azt is ellenőrizniük kell, hogy olyan beállításokat használnak-e, amelyek meghaladják a LastPass alapértelmezett konfigurációját.
Ezek a konfigurációk a tárolt jelszavakat a Password Based Key Derivation Function (PBKDF100100) 2 iterációjával keverik össze. Ez a kivonatolási séma lehetetlenné teszi a hosszú, egyedi mesterjelszavak feltörését, és a véletlenszerűen generált 100100 iteráció sajnálatos módon az OWASP által javasolt küszöbérték alatt van: 310. iterációk a PBKDF000 számára a LastPass által használt SHA2 hash algoritmussal kombinálva.
A LastPass ügyfeleinek ébernek kell lenniük az olyan adathalász e-mailekkel és telefonhívásokkal szemben is, amelyek állítólag a LastPass-tól vagy más szolgáltatásoktól származnak, és bizalmas adatokat kérnek, valamint az egyéb olyan csalásokkal szemben, amelyek veszélyeztetett személyes adatokat használnak ki. A vállalat emellett külön útmutatást kínál azoknak a vállalati ügyfeleknek, akik bevezették a LastPass Federated Login szolgáltatásait.
Végül, ha további részletekre vagy kíváncsi, a következő linken megtalálod a részleteket.