ЛастПасс је бесплатни менаџер лозинки који чува шифроване лозинке у облаку, који је првобитно развила компанија Марвасол, Инц.
Програмери менаџера лозинки LastPass , који користи више од 33 милиона људи и више од 100.000 предузећа, обавестили су кориснике о инциденту у којем су нападачи добили приступ резервним копијама складишта које садрже корисничке податке за сервис.
Подаци су укључивали информације као што су корисничко име, адреса, е-маил, телефон и ИП адресе са којих се приступило сервису, као и нешифрована имена сајтова ускладиштена у менаџеру лозинки и пријављивања, лозинке, подаци обрасца и шифроване белешке ускладиштене на овим сајтовима .
Да би се заштитили подаци за пријаву и лозинке на сајт , коришћена је AES енкрипција са 256-битним кључем генерисаним функцијом PBKDF2 на основу главне лозинке познате само кориснику, минималне величине од 12 знакова. Шифровање и дешифровање података за пријаву и лозинки у LastPass-у се врши искључиво на страни корисника, а погађање главне лозинке се сматра нереалним на модерном хардверу, с обзиром на величину главне лозинке и број примењених PBKDF2 итерација.
За извршење напада користили су податке које су нападачи добили током последњег напада који се догодио у августу, а изведен је компромитовањем налога једног од програмера сервиса.
Августовски напад је резултирао тиме да су нападачи добили приступ развојном окружењу , коду апликације и техничким информацијама. Касније је откривено да су нападачи користили податке из развојног окружења да би циљали другог програмера, чиме су добили кључеве за приступ складишту у облаку и кључеве за дешифровање података из контејнера који су тамо смештени. Компромитовани сервери у облаку су смештали комплетне резервне копије сервисних података радника.
Ово откриће представља драматично ажурирање у вези са кршењем безбедности које је LastPass открио у августу. Издавач је признао да су хакери „украли делове изворног кода LastPass-а и одређене власничке техничке информације“. Компанија је тада саопштила да главне лозинке корисника, шифроване лозинке, лични подаци и други подаци сачувани на корисничким налозима нису погођени.
256-битни АЕС и може се дешифровати само јединственим кључем за дешифровање изведеним из главне лозинке сваког корисника користећи нашу архитектуру Зеро Кновледге“, објаснио је извршни директор ЛастПасс-а Карим Тоубба, позивајући се на напредну шему шифровања. Зеро Кновледге се односи на системе за складиштење које је немогуће за провајдера услуга да разбије. Генерални директор је наставио:
Такође је наведено неколико решења која је ЛастПасс предузео да ојача своју безбедност након кршења. Кораци укључују уклањање хакованог развојног окружења из употребе и поновну изградњу од нуле, одржавање управљане услуге откривања и одговора крајњих тачака и ротирање свих релевантних акредитива и сертификата који су можда били угрожени.
С обзиром на поверљивост података које чува ЛастПасс, алармантно је да је добијен тако широк спектар личних података. Иако би разбијање хешова лозинки захтевало велике ресурсе, то није искључено, посебно имајући у виду метод и домишљатост нападача.
Корисници LastPass-а треба да се увере да су променили своју главну лозинку и све лозинке сачуване у свом трезору. Такође треба да се увере да користе подешавања која превазилазе подразумевану конфигурацију LastPass-а.
Ове конфигурације шифрирају сачуване лозинке користећи 100100 итерација функције извођења кључа засноване на лозинки (ПБКДФ2), шеме хеширања која може онемогућити разбијање дугих, јединствених главних лозинки, а насумично генерисаних 100100 итерација је ужасно испод прага од 310 које препоручује ОВАСП. итерације за ПБКДФ000 у комбинацији са СХА2 хеш алгоритмом који користи ЛастПасс.
Корисници LastPass-а такође треба да буду опрезни због фишинг имејлова и телефонских позива који се представљају као да су од LastPass-а или других сервиса који траже осетљиве податке и других превара које искоришћавају угрожене личне податке. Компанија такође нуди посебне смернице за пословне кориснике који су имплементирали LastPass Federated Login услуге.
На крају, ако сте заинтересовани да сазнате више, детаље можете пронаћи на следећем линку.