LastPass je freemium správca hesiel, ktorý ukladá šifrované heslá v cloude, pôvodne vyvinutý spoločnosťou Marvasol, Inc.
Vývojári správcu hesiel LastPass , ktorý používa viac ako 33 miliónov ľudí a viac ako 100 000 firiem, upozornili používateľov na incident, pri ktorom útočníci získali prístup k zálohám úložiska obsahujúceho používateľské údaje pre túto službu.
Údaje zahŕňali informácie ako používateľské meno, adresa, e-mail, telefón a IP adresy, z ktorých sa k službe pristupovalo, ako aj nešifrované názvy stránok uložené v správcovi hesiel a prihlasovacie údaje, heslá, údaje z formulárov a zašifrované poznámky uložené na týchto stránkach. .
Na ochranu prihlasovacích mien a hesiel stránok sa použilo šifrovanie AES s 256-bitovým kľúčom generovaným funkciou PBKDF2 na základe hlavného hesla známeho iba používateľovi s minimálnou dĺžkou 12 znakov. Šifrovanie a dešifrovanie prihlasovacích mien a hesiel v LastPass sa vykonáva výlučne na strane používateľa a uhádnutie hlavného hesla sa na modernom hardvéri považuje za nereálne vzhľadom na veľkosť hlavného hesla a počet použitých iterácií PBKDF2.
Na uskutočnenie útoku použili údaje, ktoré útočníci získali pri poslednom útoku v auguste a bol vykonaný kompromitovaním účtu jedného z vývojárov služby.
Augustový útok viedol k tomu, že útočníci získali prístup k vývojovému prostrediu , kódu aplikácie a technickým informáciám. Neskôr sa zistilo, že útočníci použili údaje z vývojového prostredia na útok na iného vývojára, čím získali prístupové kľúče k cloudovému úložisku a kľúče na dešifrovanie údajov z kontajnerov, ktoré sú tam uložené. Napadnuté cloudové servery hostili úplné zálohy servisných údajov pracovníka.
Toto odhalenie predstavuje dramatickú aktualizáciu porušenia, ktoré spoločnosť LastPass zverejnila v auguste. Vydavateľ uznal, že hackeri „ukradli časti zdrojového kódu LastPassu a určité proprietárne technické informácie“. Spoločnosť v tom čase uviedla, že hlavné heslá zákazníkov, šifrované heslá, osobné informácie a ďalšie údaje uložené v zákazníckych účtoch neboli dotknuté.
256-bitový AES a možno ho dešifrovať iba pomocou jedinečného dešifrovacieho kľúča odvodeného z hlavného hesla každého používateľa pomocou našej architektúry Zero Knowledge,“ vysvetlil generálny riaditeľ LastPass Karim Toubba s odkazom na Advanced Encryption Scheme. Nulové znalosti sa týkajú úložných systémov, ktoré poskytovateľ služby nedokáže prelomiť. Generálny riaditeľ pokračoval:
Uvádza tiež niekoľko riešení, ktoré LastPass použil na posilnenie svojej bezpečnosti po narušení. Kroky zahŕňajú vyradenie napadnutého vývojového prostredia z prevádzky a prestavbu od nuly, udržiavanie riadenej služby detekcie a odozvy koncových bodov a rotáciu všetkých relevantných poverení a certifikátov, ktoré mohli byť ohrozené.
Vzhľadom na dôvernosť údajov, ktoré LastPass uchováva, je alarmujúce, že bol získaný taký široký rozsah osobných údajov. Aj keď by prelomenie hash hesiel bolo náročné na zdroje, nie je to vylúčené, najmä vzhľadom na metódu a vynaliezavosť útočníkov.
Zákazníci LastPassu by sa mali uistiť, že zmenili svoje hlavné heslo a všetky heslá uložené v trezore. Mali by sa tiež uistiť, že používajú nastavenia, ktoré presahujú predvolenú konfiguráciu LastPassu.
Tieto konfigurácie zakódujú uložené heslá pomocou 100100 2 iterácií funkcie odvodenia kľúča založeného na hesle (PBKDF100100), hašovacej schémy, ktorá môže znemožniť prelomenie dlhých, jedinečných hlavných hesiel, a náhodne vygenerovaných 310 000 iterácií je žalostne pod hranicou 2 256 odporúčanou OWASP. iterácií pre PBKDFXNUMX v kombinácii s hashovacím algoritmom SHAXNUMX, ktorý používa LastPass.
Zákazníci spoločnosti LastPass by si mali dávať pozor aj na phishingové e-maily a telefonáty, ktoré sa vydávajú za tie, ktoré pochádzajú od spoločnosti LastPass alebo iných služieb hľadajúcich citlivé údaje, a na iné podvody, ktoré zneužívajú ohrozené osobné informácie. Spoločnosť tiež ponúka špecifické usmernenia pre firemných zákazníkov, ktorí implementovali služby LastPass Federated Login.
Na záver, ak máte záujem dozvedieť sa viac, podrobnosti nájdete na nasledujúcom odkaze.