LastPass è un gestore di password freemium che memorizza le password crittografate nel cloud, originariamente sviluppato dalla società Marvasol, Inc.
Gli sviluppatori del gestore di password LastPass , utilizzato da oltre 33 milioni di persone e più di 100.000 aziende, hanno informato gli utenti di un incidente in cui alcuni malintenzionati hanno avuto accesso ai backup dei dati degli utenti del servizio.
I dati includevano informazioni come nome utente, indirizzo, e-mail, telefono e indirizzi IP da cui è stato effettuato l'accesso al servizio, nonché nomi di siti non crittografati memorizzati nel gestore delle password e accessi, password, dati dei moduli e note crittografate archiviate su questi siti .
Per proteggere i login e le password del sito , è stata utilizzata la crittografia AES con una chiave a 256 bit generata dalla funzione PBKDF2 basata su una password principale nota solo all'utente, con una dimensione minima di 12 caratteri. La crittografia e la decrittografia di login e password in LastPass vengono eseguite esclusivamente lato utente e indovinare la password principale è considerato irrealistico sull'hardware moderno, data la lunghezza della password principale e il numero di iterazioni PBKDF2 applicate.
Per portare a termine l'attacco, hanno utilizzato i dati ottenuti dagli aggressori durante l'ultimo attacco avvenuto ad agosto ed è stato effettuato compromettendo l'account di uno degli sviluppatori del servizio.
L'attacco di agosto ha permesso agli aggressori di accedere all'ambiente di sviluppo , al codice sorgente dell'applicazione e alle informazioni tecniche. In seguito si è scoperto che gli aggressori avevano utilizzato i dati dell'ambiente di sviluppo per colpire un altro sviluppatore, ottenendo così le chiavi di accesso allo storage cloud e le chiavi per decrittografare i dati dai container ivi archiviati. I server cloud compromessi ospitavano backup completi dei dati di servizio del dipendente.
Questa rivelazione rappresenta un aggiornamento significativo rispetto alla violazione dei dati resa pubblica da LastPass ad agosto. L'azienda aveva ammesso che gli hacker "si erano impossessati di porzioni del codice sorgente di LastPass e di alcune informazioni tecniche proprietarie". All'epoca, la società aveva dichiarato che le password principali, le password crittografate, le informazioni personali e gli altri dati memorizzati negli account dei clienti non erano stati compromessi.
AES a 256 bit e può essere decrittografato solo con una chiave di decrittazione univoca derivata dalla password principale di ciascun utente utilizzando la nostra architettura Zero Knowledge”, ha spiegato il CEO di LastPass Karim Toubba, riferendosi all'Advanced Encryption Scheme. Zero Knowledge si riferisce a sistemi di archiviazione impossibili da decifrare per il fornitore di servizi. L'amministratore delegato ha proseguito:
Ha inoltre elencato diverse soluzioni adottate da LastPass per rafforzare la propria sicurezza dopo la violazione. I passaggi includono la disattivazione dell'ambiente di sviluppo compromesso e la ricostruzione da zero, il mantenimento di un servizio gestito di rilevamento e risposta degli endpoint e la rotazione di tutte le credenziali e i certificati pertinenti che potrebbero essere stati compromessi.
Data la riservatezza dei dati archiviati da LastPass, è allarmante che sia stata ottenuta una gamma così ampia di dati personali. Sebbene decifrare gli hash delle password richiederebbe molte risorse, non è fuori discussione, soprattutto considerando il metodo e l'ingegnosità degli aggressori.
I clienti di LastPass devono assicurarsi di aver modificato la password principale e tutte le password memorizzate nel proprio vault. Devono inoltre assicurarsi di utilizzare impostazioni che vadano oltre la configurazione predefinita di LastPass.
Queste configurazioni confondono le password memorizzate utilizzando 100100 iterazioni della funzione di derivazione della chiave basata su password (PBKDF2), uno schema di hashing che può rendere impossibile decifrare password principali lunghe e univoche e le 100100 iterazioni generate in modo casuale sono tristemente al di sotto della soglia consigliata da OWASP di 310 iterazioni per PBKDF000 in combinazione con l'algoritmo hash SHA2 utilizzato da LastPass.
I clienti di LastPass devono inoltre prestare attenzione alle email e alle telefonate di phishing che si spacciano per LastPass o altri servizi, con l'obiettivo di carpire dati sensibili, e ad altre truffe che sfruttano informazioni personali compromesse. L'azienda offre anche indicazioni specifiche per i clienti aziendali che hanno implementato i servizi di accesso federato di LastPass.
Infine, se siete interessati ad approfondire l'argomento, potete trovare maggiori dettagli al seguente link.