LastPass הוא מנהל סיסמאות freemium המאחסן סיסמאות מוצפנות בענן, שפותח במקור על ידי חברת Marvasol, Inc.
מפתחי מנהל הסיסמאות LastPass , בו משתמשים יותר מ-33 מיליון איש ויותר מ-100.000 עסקים, הודיעו למשתמשים על אירוע בו תוקפים השיגו גישה לגיבויים של האחסון המכיל נתוני משתמש עבור השירות.
הנתונים כללו מידע כגון שם משתמש, כתובת, דואר אלקטרוני, טלפון וכתובות IP מהן הגישה לשירות, וכן שמות אתרים לא מוצפנים המאוחסנים במנהל הסיסמאות וכניסות, סיסמאות, נתוני טפסים והערות מוצפנות המאוחסנות באתרים אלו. .
כדי להגן על כניסות וסיסמאות לאתר , נעשה שימוש בהצפנת AES עם מפתח של 256 סיביות שנוצר על ידי פונקציית PBKDF2 בהתבסס על סיסמת אב הידועה רק למשתמש, בגודל מינימלי של 12 תווים. הצפנה ופענוח של כניסות וסיסמאות ב-LastPass מתבצעים אך ורק בצד המשתמש, וניחוש סיסמת האב נחשב לא מציאותי בחומרה מודרנית, בהתחשב בגודל סיסמת האב ובמספר איטרציות PBKDF2 המיושמות.
לצורך ביצוע המתקפה, הם השתמשו בנתונים שהגיעו לידי התוקפים במהלך המתקפה האחרונה שהתרחשה באוגוסט והיא בוצעה על ידי פגיעה בחשבונו של אחד ממפתחי השירות.
התקיפה באוגוסט הביאה לתוקפים גישה לסביבת הפיתוח , קוד האפליקציה ומידע טכני. מאוחר יותר התגלה כי התוקפים השתמשו בנתונים מסביבת הפיתוח כדי לפגוע במפתח אחר, ובכך השיגו מפתחות גישה לאחסון ענן ומפתחות לפענוח נתונים מהמכולות המאוחסנות שם. שרתי הענן שנפרצו אירחו גיבויים מלאים של נתוני השירות של העובד.
הגילוי מייצג עדכון דרמטי לפריצה שחשפה LastPass באוגוסט. המפרסם הודה כי האקרים "גנבו חלקים מקוד המקור של LastPass ומידע טכני קנייני מסוים". החברה מסרה באותה עת כי סיסמאות האב של הלקוחות, סיסמאות מוצפנות, מידע אישי ונתונים אחרים המאוחסנים בחשבונות הלקוחות לא הושפעו.
256 סיביות AES וניתן לפענח רק עם מפתח פענוח ייחודי הנגזר מסיסמת האב של כל משתמש באמצעות ארכיטקטורת Zero Knowledge שלנו", הסביר מנכ"ל LastPass, קארים טובבה, בהתייחס לתוכנית ההצפנה המתקדמת. אפס ידע מתייחס למערכות אחסון שספק השירות לא יכול לפצח. המנכ"ל המשיך:
היא גם מונה כמה פתרונות ש-LastPass נקטה כדי לחזק את האבטחה שלה לאחר ההפרה. השלבים כוללים השבתת סביבת הפיתוח שנפרצה ובנייה מחדש מאפס, שמירה על שירות זיהוי ותגובה של נקודות קצה מנוהלות וסיבוב כל האישורים והתעודות הרלוונטיים שייתכן ונפגעו.
בהתחשב בסודיות הנתונים המאוחסנים על ידי LastPass, זה מדאיג שהושג מגוון כה רחב של נתונים אישיים. למרות שפיצוח גיבוב של סיסמאות יהיה אינטנסיבי במשאבים, זה לא בא בחשבון, במיוחד לאור השיטה וכושר ההמצאה של התוקפים.
על לקוחות LastPass לוודא ששינו את סיסמת המאסטר שלהם ואת כל הסיסמאות המאוחסנות בכספת שלהם. עליהם גם לוודא שהם משתמשים בהגדרות שחורגות מתצורת ברירת המחדל של LastPass.
תצורות אלו מערבבות סיסמאות מאוחסנות תוך שימוש ב-100100 איטרציות של פונקציית גזירת מפתח מבוסס סיסמה (PBKDF2), סכימת גיבוב שיכולה להפוך את זה לבלתי אפשרי לפצח סיסמאות מאסטר ייחודיות ארוכות, ו-100100 האיטרציות שנוצרו באקראי נמצאות בצער מתחת לסף המומלץ על ידי OWASP של 310 עבור PBKDF000 בשילוב עם אלגוריתם ה-hash SHA2 המשמש את LastPass.
על לקוחות LastPass להיות ערניים גם מפני הודעות דוא"ל ושיחות טלפון של פישינג המתיישנות כאילו הן מ-LastPass או שירותים אחרים המחפשים מידע רגיש, והונאות אחרות המנצלות מידע אישי שנחשף. החברה מציעה גם הנחיות ספציפיות ללקוחות ארגוניים שהטמיעו את שירותי LastPass Federated Login.
לבסוף, אם אתם מעוניינים ללמוד עוד, תוכלו למצוא פרטים נוספים בקישור הבא.