LastPass to menedżer haseł freemium, który przechowuje zaszyfrowane hasła w chmurze, pierwotnie opracowany przez firmę Marvasol, Inc.
Twórcy menedżera haseł LastPass , z którego korzysta ponad 33 miliony osób i ponad 100 000 firm, powiadomili użytkowników o incydencie, w wyniku którego atakujący uzyskali dostęp do kopii zapasowych magazynu zawierającego dane użytkowników usługi.
Dane obejmowały informacje, takie jak nazwa użytkownika, adres, adres e-mail, telefon i adresy IP, z których uzyskano dostęp do usługi, a także niezaszyfrowane nazwy witryn przechowywane w menedżerze haseł oraz loginy, hasła, dane formularzy i zaszyfrowane notatki przechowywane w tych witrynach .
Aby chronić loginy i hasła w witrynie , zastosowano szyfrowanie AES z 256-bitowym kluczem generowanym przez funkcję PBKDF2 na podstawie hasła głównego znanego tylko użytkownikowi, o minimalnym rozmiarze 12 znaków. Szyfrowanie i deszyfrowanie loginów i haseł w LastPass odbywa się wyłącznie po stronie użytkownika, a odgadnięcie hasła głównego jest uważane za nierealne na nowoczesnym sprzęcie, biorąc pod uwagę rozmiar hasła głównego i liczbę iteracji PBKDF2.
Do przeprowadzenia ataku wykorzystali dane pozyskane przez osoby atakujące podczas ostatniego ataku, który miał miejsce w sierpniu i został przeprowadzony poprzez włamanie się na konto jednego z twórców serwisu.
Atak z sierpnia doprowadził do uzyskania przez atakujących dostępu do środowiska programistycznego , kodu aplikacji i informacji technicznych. Później odkryto, że atakujący wykorzystali dane ze środowiska programistycznego, aby zaatakować innego programistę, uzyskując w ten sposób klucze dostępu do pamięci masowej w chmurze oraz klucze do odszyfrowania danych z przechowywanych tam kontenerów. Na zainfekowanych serwerach w chmurze znajdowały się pełne kopie zapasowe danych usługowych pracownika.
Ujawnienie stanowi drastyczną aktualizację naruszenia bezpieczeństwa, które LastPass ujawnił w sierpniu. Wydawca przyznał, że hakerzy „przejęli fragmenty kodu źródłowego LastPass i pewne zastrzeżone informacje techniczne”. Firma poinformowała wówczas, że hasła główne klientów, hasła zaszyfrowane, dane osobowe i inne dane przechowywane na kontach klientów nie zostały naruszone.
256-bitowy AES i można go odszyfrować tylko za pomocą unikalnego klucza deszyfrującego uzyskanego z hasła głównego każdego użytkownika przy użyciu naszej architektury Zero Knowledge” — wyjaśnił dyrektor generalny LastPass, Karim Toubba, odnosząc się do zaawansowanego schematu szyfrowania. Zero Knowledge odnosi się do systemów pamięci masowej, których złamanie przez usługodawcę jest niemożliwe. Prezes kontynuował:
Wymieniono również kilka rozwiązań, które LastPass zastosował, aby wzmocnić swoje bezpieczeństwo po włamaniu. Kroki obejmują likwidację zhakowanego środowiska programistycznego i odbudowanie od podstaw, utrzymanie zarządzanej usługi wykrywania i reagowania na punkty końcowe oraz rotację wszystkich odpowiednich poświadczeń i certyfikatów, które mogły zostać naruszone.
Biorąc pod uwagę poufność danych przechowywanych przez LastPass, niepokojące jest to, że uzyskano tak szeroki zakres danych osobowych. Chociaż łamanie skrótów haseł wymagałoby dużych zasobów, nie jest wykluczone, zwłaszcza biorąc pod uwagę metodę i pomysłowość atakujących.
Klienci LastPass powinni upewnić się, że zmienili swoje hasło główne i wszystkie hasła zapisane w sejfie. Powinni również upewnić się, że używają ustawień wykraczających poza domyślną konfigurację LastPass.
Te konfiguracje szyfrują zapisane hasła przy użyciu 100100 iteracji funkcji wyprowadzania klucza opartego na hasłach (PBKDF2), schematu mieszania, który może uniemożliwić złamanie długich, unikalnych haseł głównych, a losowo wygenerowane 100100 iteracji jest żałośnie poniżej zalecanego przez OWASP progu 310 000 iteracje dla PBKDF2 w połączeniu z algorytmem mieszania SHA256 używanym przez LastPass.
Klienci LastPass powinni również zachować czujność przed wiadomościami e-mail i połączeniami phishingowymi podszywającymi się pod LastPass lub inne usługi, które próbują wyłudzić poufne dane, a także innymi oszustwami wykorzystującymi wykradzione dane osobowe. Firma oferuje również szczegółowe wskazówki dla klientów korporacyjnych, którzy wdrożyli usługę LastPass Federated Login.
Jeśli chcesz dowiedzieć się więcej, szczegóły znajdziesz pod poniższym linkiem.