LastPass este un manager de parole freemium care stochează parole criptate în cloud, dezvoltat inițial de compania Marvasol, Inc.
Dezvoltatorii managerului de parole LastPass , utilizat de peste 33 de milioane de persoane și peste 100.000 de companii, au notificat utilizatorii despre un incident în care atacatorii au obținut acces la copii de rezervă ale spațiului de stocare care conținea datele utilizatorilor pentru serviciu.
Datele au inclus informații precum numele de utilizator, adresa, e-mailul, telefonul și adresele IP de la care a fost accesat serviciul, precum și numele site-urilor necriptate stocate în managerul de parole și login-uri, parole, date de formular și note criptate stocate pe aceste site-uri. .
Pentru a proteja datele de autentificare și parolele site-ului , s-a utilizat criptarea AES cu o cheie de 256 de biți generată de funcția PBKDF2 pe baza unei parole principale cunoscute doar de utilizator, cu o dimensiune minimă de 12 caractere. Criptarea și decriptarea datelor de autentificare și a parolelor în LastPass se efectuează exclusiv de partea utilizatorului, iar ghicirea parolei principale este considerată nerealistă pe hardware-ul modern, având în vedere dimensiunea parolei principale și numărul de iterații PBKDF2 aplicate.
Pentru a efectua atacul, au folosit date obținute de atacatori în timpul ultimului atac care a avut loc în luna august și a fost realizat prin compromiterea contului unuia dintre dezvoltatorii de servicii.
Atacul din august a dus la obținerea de către atacatori a accesului la mediul de dezvoltare , la codul aplicației și la informații tehnice. Ulterior s-a descoperit că atacatorii au folosit date din mediul de dezvoltare pentru a viza un alt dezvoltator, obținând astfel chei de acces la stocarea în cloud și chei pentru decriptarea datelor din containerele stocate acolo. Serverele cloud compromise au găzduit copii de rezervă complete ale datelor de service ale lucrătorului.
Dezvăluirea reprezintă o actualizare dramatică a unei breșe de securitate dezvăluite de LastPass în august. Editorul a recunoscut că hackerii „au furat porțiuni din codul sursă al LastPass și anumite informații tehnice proprietare”. Compania a declarat la momentul respectiv că parolele principale ale clienților, parolele criptate, informațiile personale și alte date stocate în conturile clienților nu au fost afectate.
AES pe 256 de biți și poate fi decriptat numai cu o cheie unică de decriptare derivată din parola principală a fiecărui utilizator, folosind arhitectura noastră Zero Knowledge”, a explicat CEO-ul LastPass, Karim Toubba, referindu-se la Schema de criptare avansată. Zero Knowledge se referă la sistemele de stocare pe care furnizorul de servicii nu le poate sparge. CEO-ul a continuat:
De asemenea, a enumerat mai multe soluții pe care LastPass le-a luat pentru a-și consolida securitatea după breșă. Pașii includ scoaterea din funcțiune a mediului de dezvoltare piratat și reconstruirea de la zero, menținerea unui serviciu de detectare și răspuns a punctelor finale gestionate și rotirea tuturor acreditărilor și certificatelor relevante care ar fi putut fi compromise.
Având în vedere confidențialitatea datelor stocate de LastPass, este alarmant faptul că s-a obținut o gamă atât de largă de date cu caracter personal. Deși spargerea hash-urilor parolelor ar consuma resurse, nu este exclusă, mai ales având în vedere metoda și ingeniozitatea atacatorilor.
Clienții LastPass trebuie să se asigure că și-au schimbat parola principală și toate parolele stocate în seiful lor. De asemenea, trebuie să se asigure că utilizează setări care depășesc configurația implicită a LastPass.
Aceste configurații amestecă parolele stocate folosind 100100 de iterații ale funcției de derivare a cheilor bazate pe parolă (PBKDF2), o schemă de hashing care poate face imposibilă spargerea parolelor principale lungi și unice, iar cele 100100 de iterații generate aleatoriu sunt sub pragul recomandat de OWASP de 310. iterații pentru PBKDF000 în combinație cu algoritmul hash SHA2 utilizat de LastPass.
Clienții LastPass ar trebui să fie, de asemenea, vigilenți împotriva e-mailurilor de phishing și a apelurilor telefonice care pretind a fi de la LastPass sau alte servicii care caută date sensibile și a altor escrocherii care exploatează informații personale compromise. Compania oferă, de asemenea, îndrumări specifice pentru clienții enterprise care au implementat servicii LastPass Federated Login.
În final, dacă sunteți interesați să aflați mai multe, puteți găsi detalii la linkul următor.