LastPass ir bezmaksas paroļu pārvaldnieks, kas mākonī saglabā šifrētas paroles, ko sākotnēji izstrādāja uzņēmums Marvasol, Inc.
Paroļu pārvaldnieka LastPass , ko izmanto vairāk nekā 33 miljoni cilvēku un vairāk nekā 100 000 uzņēmumu, izstrādātāji paziņoja lietotājiem par incidentu, kurā uzbrucēji ieguva piekļuvi krātuves dublējumiem, kuros glabājas pakalpojuma lietotāju dati .
Dati ietvēra tādu informāciju kā lietotājvārds, adrese, e-pasts, tālrunis un IP adreses, no kurām tika piekļūts pakalpojumam, kā arī nešifrēti vietņu nosaukumi, kas saglabāti paroļu pārvaldniekā, un pieteikumvārdi, paroles, veidlapu dati un šifrētas piezīmes, kas tika glabātas šajās vietnēs. .
Lai aizsargātu vietnes pieteikšanās datus un paroles , tika izmantota AES šifrēšana ar 256 bitu atslēgu, ko ģenerēja PBKDF2 funkcija, pamatojoties uz galveno paroli, kas zināma tikai lietotājam, un kuras minimālais garums ir 12 rakstzīmes. Pieteikšanās datu un paroļu šifrēšanu un atšifrēšanu LastPass veic tikai lietotājs, un galvenās paroles uzminēšana mūsdienu aparatūrā tiek uzskatīta par nereālu, ņemot vērā galvenās paroles lielumu un izmantoto PBKDF2 iterāciju skaitu.
Uzbrukuma veikšanai viņi izmantoja datus, ko uzbrucēji ieguva pēdējā uzbrukuma laikā, kas notika augustā, un tas tika veikts, kompromitējot viena pakalpojuma izstrādātāja kontu.
Augusta uzbrukuma rezultātā uzbrucēji ieguva piekļuvi izstrādes videi , lietojumprogrammas kodam un tehniskajai informācijai. Vēlāk tika atklāts, ka uzbrucēji izmantoja datus no izstrādes vides, lai uzbruktu citam izstrādātājam, tādējādi iegūstot piekļuves atslēgas mākoņkrātuvei un atslēgas datu atšifrēšanai no tur glabātajiem konteineriem. Apdraudētajos mākoņserveros tika mitinātas pilnas darbinieka pakalpojumu datu dublējumkopijas.
Šī informācijas atklāšana ir dramatisks atjauninājums pārkāpumam, ko LastPass atklāja augustā. Izdevējs atzina, ka hakeri "paņēma daļas no LastPass pirmkoda un noteiktu patentētu tehnisko informāciju". Uzņēmums toreiz paziņoja, ka klientu galvenās paroles, šifrētās paroles, personiskā informācija un citi dati, kas glabājas klientu kontos, netika ietekmēti.
256 bitu AES, un to var atšifrēt tikai ar unikālu atšifrēšanas atslēgu, kas iegūta no katra lietotāja galvenās paroles, izmantojot mūsu Zero Knowledge arhitektūru,” skaidroja LastPass izpilddirektors Karims Toubba, atsaucoties uz Advanced Encryption Scheme. Nulles zināšanas attiecas uz uzglabāšanas sistēmām, kuras pakalpojumu sniedzējam nav iespējams uzlauzt. Izpilddirektors turpināja:
Tajā tika uzskaitīti arī vairāki risinājumi, ko LastPass izmantoja, lai stiprinātu savu drošību pēc pārkāpuma. Darbības ietver uzlauztās izstrādes vides ekspluatācijas pārtraukšanu un atjaunošanu no jauna, pārvaldīta galapunkta noteikšanas un reaģēšanas pakalpojuma uzturēšanu, kā arī visu attiecīgo akreditācijas datu un sertifikātu rotāciju, kas, iespējams, ir apdraudēti.
Ņemot vērā LastPass uzglabāto datu konfidencialitāti, ir satraucoši, ka iegūts tik plašs personas datu klāsts. Lai gan paroļu jaucējkodu uzlaušana būtu resursietilpīga, tas nav izslēgts, jo īpaši ņemot vērā uzbrucēju metodi un atjautību.
LastPass klientiem jāpārliecinās, ka viņi ir nomainījuši savu galveno paroli un visas paroles, kas tiek glabātas viņu seifā. Viņiem arī jāpārliecinās, ka viņi izmanto iestatījumus, kas pārsniedz LastPass noklusējuma konfigurāciju.
Šīs konfigurācijas sagroza saglabātās paroles, izmantojot 100100 2 paroles atslēgu atvasināšanas funkcijas (PBKDF100100) iterācijas — jaukšanas shēmu, kas var padarīt neiespējamu garu unikālo galveno paroļu uzlauzšanu, un nejauši ģenerētās 310 000 atkārtojumus ir nožēlojami zem OWASP ieteiktā sliekšņa 2. iterācijas PBKDF256 kombinācijā ar SHAXNUMX jaukšanas algoritmu, ko izmanto LastPass.
LastPass klientiem jābūt modriem arī attiecībā uz pikšķerēšanas e-pastiem un tālruņa zvaniem, kas it kā nāk no LastPass vai citiem pakalpojumiem, kuri meklē sensitīvus datus, un citām krāpnieciskām shēmām, kas izmanto apdraudētu personas informāciju. Uzņēmums piedāvā arī īpašus norādījumus korporatīvajiem klientiem, kuri ir ieviesuši LastPass Federated Login pakalpojumus.
Visbeidzot, ja vēlaties uzzināt vairāk, informāciju varat atrast tālāk norādītajā saitē.