LastPass yra nemokama slaptažodžių tvarkyklė, kuri saugo užšifruotus slaptažodžius debesyje, kurią iš pradžių sukūrė bendrovė Marvasol, Inc.
Slaptažodžių tvarkyklės „LastPass“ , kuria naudojasi daugiau nei 33 milijonai žmonių ir daugiau nei 100 000 įmonių, kūrėjai pranešė vartotojams apie incidentą, kai užpuolikai gavo prieigą prie saugyklos, kurioje buvo paslaugos vartotojų duomenys, atsarginių kopijų.
Duomenys apėmė tokią informaciją kaip vartotojo vardas, adresas, el. pašto adresas, telefonas ir IP adresai, iš kurių buvo pasiekta paslauga, taip pat nešifruoti svetainių pavadinimai, saugomi slaptažodžių tvarkyklėje, ir prisijungimai, slaptažodžiai, formų duomenys ir šiose svetainėse saugomi užšifruoti užrašai. .
Siekiant apsaugoti svetainės prisijungimus ir slaptažodžius , buvo naudojamas AES šifravimas su 256 bitų raktu, sugeneruotu PBKDF2 funkcijos, pagrįstu tik vartotojui žinomu pagrindiniu slaptažodžiu, kurio minimalus ilgis yra 12 simbolių. Prisijungimo vardų ir slaptažodžių šifravimą ir iššifravimą „LastPass“ programoje atlieka tik vartotojas, o pagrindinio slaptažodžio atspėjimas šiuolaikinėje įrangoje laikomas nerealu, atsižvelgiant į pagrindinio slaptažodžio dydį ir taikomų PBKDF2 iteracijų skaičių.
Vykdydami ataką, jie naudojo duomenis, kuriuos užpuolikai gavo per paskutinę rugpjūčio mėnesį įvykusią ataką, kuri buvo įvykdyta sukompromitavus vieno iš paslaugų kūrėjų paskyrą.
Rugpjūčio mėnesio atakos metu užpuolikai gavo prieigą prie kūrimo aplinkos , programos kodo ir techninės informacijos. Vėliau buvo išsiaiškinta, kad užpuolikai panaudojo duomenis iš kūrimo aplinkos, kad atakuotų kitą kūrėją ir taip gautų prieigos raktus prie debesies saugyklos ir raktus duomenims iš ten saugomų konteinerių iššifruoti. Pažeistuose debesies serveriuose buvo saugomos visos darbuotojo paslaugų duomenų atsarginės kopijos.
Šis atskleidimas yra dramatiškas atnaujinimas, susijęs su rugpjūčio mėnesį „LastPass“ atskleistu įsilaužimu. Leidėjas pripažino, kad įsilaužėliai „paėmė dalis „LastPass“ šaltinio kodo ir tam tikrą patentuotą techninę informaciją“. Tuo metu bendrovė teigė, kad klientų pagrindiniai slaptažodžiai, užšifruoti slaptažodžiai, asmeninė informacija ir kiti klientų paskyrose saugomi duomenys nebuvo paveikti.
256 bitų AES ir gali būti iššifruotas tik naudojant unikalų iššifravimo raktą, gautą iš kiekvieno vartotojo pagrindinio slaptažodžio, naudojant mūsų Zero Knowledge architektūrą“, – paaiškino LastPass generalinis direktorius Karimas Toubba, kalbėdamas apie išplėstinę šifravimo schemą. Zero Knowledge reiškia saugojimo sistemas, kurių paslaugų teikėjas negali nulaužti. Generalinis direktorius tęsė:
Jame taip pat išvardyti keli sprendimai, kurių „LastPass“ ėmėsi, kad sustiprintų savo saugumą po pažeidimo. Veiksmai apima nulaužtos kūrimo aplinkos eksploatavimo nutraukimą ir atkūrimą nuo nulio, valdomos galinių taškų aptikimo ir reagavimo paslaugos palaikymą bei visų susijusių kredencialų ir sertifikatų, kurie galėjo būti pažeisti, pakeitimą.
Atsižvelgiant į LastPass saugomų duomenų konfidencialumą, nerimą kelia tai, kad buvo gauta tokia daugybė asmens duomenų. Nors slaptažodžių maišos nulaužimas pareikalautų daug išteklių, tai nėra iš piršto laužta, ypač atsižvelgiant į užpuolikų metodą ir išradingumą.
„LastPass“ klientai turėtų įsitikinti, kad pakeitė pagrindinį slaptažodį ir visus slaptažodžius, saugomus jų saugykloje. Jie taip pat turėtų įsitikinti, kad naudoja nustatymus, kurie viršija numatytąją „LastPass“ konfigūraciją.
Šios konfigūracijos sumaišo saugomus slaptažodžius, naudodamos 100100 2 slaptažodžiu pagrįstos raktų išvedimo funkcijos (PBKDF100100) iteracijų – maišos schemą, dėl kurios neįmanoma nulaužti ilgų, unikalių pagrindinių slaptažodžių, o atsitiktinai sugeneruotų 310 000 pakartojimų apgailėtinai nesiekia OWASP rekomenduojamo slenksčio 2. PBKDF256 iteracijos kartu su SHAXNUMX maišos algoritmu, kurį naudoja LastPass.
„LastPass“ klientai taip pat turėtų būti budrūs dėl sukčiavimo el. laiškų ir telefono skambučių, kurie tariamai siunčiami iš „LastPass“ ar kitų paslaugų, siekiančių gauti neskelbtinus duomenis, ir kitų sukčiavimo atvejų, kuriais pasinaudojama pažeista asmenine informacija. Bendrovė taip pat teikia konkrečias rekomendacijas verslo klientams, įdiegusiems „LastPass Federated Login“ paslaugas.
Galiausiai, jei norite sužinoti daugiau, išsamią informaciją galite rasti šioje nuorodoje.