LastPass është një menaxher i fjalëkalimeve freemium që ruan fjalëkalime të koduara në cloud, i zhvilluar fillimisht nga kompania Marvasol, Inc.
Zhvilluesit e menaxherit të fjalëkalimeve LastPass , i cili përdoret nga më shumë se 33 milionë njerëz dhe më shumë se 100.000 biznese, i njoftuan përdoruesit për një incident në të cilin sulmuesit fituan akses në kopjet rezervë të hapësirës së ruajtjes që përmbanin të dhëna të përdoruesit për shërbimin.
Të dhënat përfshinin informacione të tilla si emri i përdoruesit, adresa, emaili, telefoni dhe adresat IP nga të cilat është aksesuar shërbimi, si dhe emrat e pashifruar të faqeve të ruajtura në menaxherin e fjalëkalimeve dhe hyrjet, fjalëkalimet, të dhënat e formularit dhe shënimet e enkriptuara të ruajtura në këto sajte. .
Për të mbrojtur hyrjet dhe fjalëkalimet në faqe , u përdor enkriptimi AES me një çelës 256-bit të gjeneruar nga funksioni PBKDF2 bazuar në një fjalëkalim kryesor të njohur vetëm për përdoruesin, me një madhësi minimale prej 12 karakteresh. Enkriptimi dhe dekriptimi i hyrjeve dhe fjalëkalimeve në LastPass kryhet vetëm nga ana e përdoruesit, dhe hamendësimi i fjalëkalimit kryesor konsiderohet jorealist në pajisjet moderne, duke pasur parasysh madhësinë e fjalëkalimit kryesor dhe numrin e përsëritjeve të aplikuara të PBKDF2.
Për të kryer sulmin, ata përdorën të dhënat e marra nga sulmuesit gjatë sulmit të fundit që ndodhi në gusht dhe ai u krye duke kompromentuar llogarinë e një prej zhvilluesve të shërbimit.
Sulmi i gushtit rezultoi në fitimin e aksesit nga sulmuesit në mjedisin e zhvillimit , kodin e aplikacionit dhe informacionin teknik. Më vonë u zbulua se sulmuesit përdorën të dhëna nga mjedisi i zhvillimit për të synuar një zhvillues tjetër, duke marrë kështu çelësa aksesi në ruajtjen në cloud dhe çelësa për të deshifruar të dhënat nga kontejnerët e ruajtur atje. Serverët e kompromentuar në cloud mbanin kopje rezervë të plotë të të dhënave të shërbimit të punëtorit.
Zbulimi përfaqëson një përditësim dramatik të një shkeljeje që LastPass zbuloi në gusht. Botuesi pranoi se hakerat "morën pjesë të kodit burimor të LastPass dhe disa informacione teknike të patentuara". Kompania tha në atë kohë se fjalëkalimet kryesore të klientëve, fjalëkalimet e enkriptuara, informacionet personale dhe të dhënat e tjera të ruajtura në llogaritë e klientëve nuk u prekën.
AES 256-bit dhe mund të deshifrohet vetëm me një çelës unik dekriptimi që rrjedh nga fjalëkalimi kryesor i çdo përdoruesi duke përdorur arkitekturën tonë të njohurive Zero,” shpjegoi CEO i LastPass, Karim Toubba, duke iu referuar Skemës së Enkriptimit të Avancuar. Zero Knowledge i referohet sistemeve të ruajtjes që është e pamundur që ofruesi i shërbimit t'i prishë. CEO vazhdoi:
Ai renditi gjithashtu disa zgjidhje që LastPass mori për të forcuar sigurinë e tij pas shkeljes. Hapat përfshijnë çaktivizimin e mjedisit të zhvillimit të hakuar dhe rindërtimin nga e para, mbajtjen e një shërbimi të menaxhuar të zbulimit dhe përgjigjes së pikës fundore dhe rrotullimin e të gjitha kredencialeve dhe certifikatave përkatëse që mund të jenë komprometuar.
Duke pasur parasysh konfidencialitetin e të dhënave të ruajtura nga LastPass, është alarmante që është marrë një gamë kaq e gjerë të dhënash personale. Ndërsa thyerja e hasheve të fjalëkalimeve do të ishte intensive me burime, nuk përjashtohet diskutimi, veçanërisht duke pasur parasysh metodën dhe zgjuarsinë e sulmuesve.
Klientët e LastPass duhet të sigurohen që kanë ndryshuar fjalëkalimin e tyre kryesor dhe të gjitha fjalëkalimet e ruajtura në kasafortën e tyre. Ata duhet gjithashtu të sigurohen që po përdorin cilësime që tejkalojnë konfigurimin parazgjedhur të LastPass.
Këto konfigurime përziejnë fjalëkalimet e ruajtura duke përdorur 100100 përsëritje të funksionit të derivimit të çelësit të bazuar në fjalëkalim (PBKDF2), një skemë hashimi që mund ta bëjë të pamundur thyerjen e fjalëkalimeve të gjata dhe unike dhe 100100 përsëritjet e krijuara në mënyrë të rastësishme janë mjerisht të miratuara nga 310. përsëritje për PBKDF000 në kombinim me algoritmin hash SHA2 të përdorur nga LastPass.
Klientët e LastPass duhet të jenë gjithashtu vigjilentë ndaj emaileve dhe telefonatave phishing që pretendojnë të jenë nga LastPass ose shërbime të tjera që kërkojnë të dhëna të ndjeshme dhe mashtrimeve të tjera që shfrytëzojnë informacionin personal të kompromentuar. Kompania gjithashtu ofron udhëzime specifike për klientët e ndërmarrjeve që kanë zbatuar shërbimet e LastPass Federated Login.
Së fundmi, nëse jeni të interesuar të mësoni më shumë, mund t'i gjeni detajet në lidhjen e mëposhtme.