LastPass ialah pengurus kata laluan freemium yang menyimpan kata laluan yang disulitkan dalam awan, yang pada asalnya dibangunkan oleh syarikat Marvasol, Inc.
Pembangun pengurus kata laluan LastPass , yang digunakan oleh lebih 33 juta orang dan lebih 100.000 perniagaan, telah memaklumkan pengguna tentang insiden di mana penyerang mendapat akses kepada sandaran storan yang mengandungi data pengguna untuk perkhidmatan tersebut.
Data tersebut termasuk maklumat seperti nama pengguna, alamat, e-mel, telefon dan alamat IP dari mana perkhidmatan itu diakses, serta nama tapak yang tidak disulitkan yang disimpan dalam pengurus kata laluan dan log masuk, kata laluan, data borang dan nota yang disulitkan yang disimpan di tapak ini. .
Untuk melindungi log masuk dan kata laluan tapak , penyulitan AES telah digunakan dengan kunci 256-bit yang dijana oleh fungsi PBKDF2 berdasarkan kata laluan induk yang hanya diketahui oleh pengguna, dengan saiz minimum 12 aksara. Penyulitan dan penyahsulitan log masuk dan kata laluan dalam LastPass dilakukan semata-mata di pihak pengguna, dan meneka kata laluan induk dianggap tidak realistik pada perkakasan moden, memandangkan saiz kata laluan induk dan bilangan lelaran PBKDF2 yang digunakan.
Untuk melakukan serangan itu, mereka menggunakan data yang diperoleh oleh penyerang semasa serangan terakhir yang berlaku pada bulan Ogos dan ia dilakukan dengan menjejaskan akaun salah satu pembangun perkhidmatan.
Serangan Ogos mengakibatkan penyerang mendapat akses kepada persekitaran pembangunan , kod aplikasi dan maklumat teknikal. Kemudian, didapati bahawa penyerang menggunakan data daripada persekitaran pembangunan untuk menyasarkan pembangun lain, sekali gus memperoleh kunci akses kepada storan awan dan kunci untuk menyahsulit data daripada bekas yang disimpan di sana. Pelayan awan yang dikompromi itu menyimpan sandaran penuh data perkhidmatan pekerja.
Pendedahan itu merupakan kemas kini dramatik kepada pelanggaran yang didedahkan oleh LastPass pada bulan Ogos. Penerbit itu mengakui bahawa penggodam “mengambil sebahagian daripada kod sumber LastPass dan maklumat teknikal proprietari tertentu.” Syarikat itu berkata pada masa itu bahawa kata laluan induk pelanggan, kata laluan yang disulitkan, maklumat peribadi dan data lain yang disimpan dalam akaun pelanggan tidak terjejas.
AES 256-bit dan hanya boleh dinyahsulit dengan kunci penyahsulitan unik yang diperoleh daripada kata laluan induk setiap pengguna menggunakan seni bina Pengetahuan Sifar kami,” jelas Ketua Pegawai Eksekutif LastPass, Karim Toubba, merujuk kepada Skim Penyulitan Lanjutan. Zero Knowledge merujuk kepada sistem storan yang mustahil untuk dipecahkan oleh pembekal perkhidmatan. Ketua Pegawai Eksekutif meneruskan:
Ia juga menyenaraikan beberapa penyelesaian yang LastPass ambil untuk mengukuhkan keselamatannya selepas pelanggaran itu. Langkah-langkah termasuk menyahtauliah persekitaran pembangunan yang digodam dan membina semula dari awal, mengekalkan perkhidmatan pengesanan dan tindak balas titik akhir yang terurus, dan memutar semua bukti kelayakan dan sijil berkaitan yang mungkin telah terjejas.
Memandangkan kerahsiaan data yang disimpan oleh LastPass, adalah membimbangkan bahawa pelbagai jenis data peribadi telah diperolehi. Walaupun memecah cincang kata laluan akan memerlukan sumber yang intensif, ia bukan masalah, terutamanya memandangkan kaedah dan kepintaran penyerang.
Pelanggan LastPass harus memastikan mereka telah menukar kata laluan induk dan semua kata laluan yang disimpan dalam peti besi mereka. Mereka juga harus memastikan mereka menggunakan tetapan yang melebihi konfigurasi lalai LastPass.
Konfigurasi ini berebut kata laluan yang disimpan menggunakan 100100 lelaran Fungsi Terbitan Kunci Berasaskan Kata Laluan (PBKDF2), skim pencincangan yang boleh menyebabkan mustahil untuk memecahkan kata laluan induk yang panjang dan unik, dan lelaran 100100 yang dijana secara rawak adalah di bawah ambang yang disyorkan OWASP sebanyak 310 lelaran untuk PBKDF000 dalam kombinasi dengan algoritma cincang SHA2 yang digunakan oleh LastPass.
Pelanggan LastPass juga harus berwaspada terhadap e-mel pancingan data dan panggilan telefon yang kononnya dari LastPass atau perkhidmatan lain yang mencari data sensitif dan penipuan lain yang mengeksploitasi maklumat peribadi yang dikompromi. Syarikat itu juga menawarkan panduan khusus untuk pelanggan perusahaan yang telah melaksanakan perkhidmatan Log Masuk Bersekutu LastPass.
Akhir sekali, jika anda berminat untuk mengetahui lebih lanjut, anda boleh mendapatkan butiran lanjut di pautan berikut.