Ang LastPass ay isang freemium password manager na nag-iimbak ng mga naka-encrypt na password sa cloud, na orihinal na binuo ng kumpanyang Marvasol, Inc.
Ang mga developer ng password manager na LastPass , na ginagamit ng mahigit 33 milyong tao at mahigit 100.000 negosyo, ay nag-abiso sa mga user tungkol sa isang insidente kung saan nakakuha ng access ang mga attacker sa mga backup ng storage na naglalaman ng data ng user para sa serbisyo.
Kasama sa data ang impormasyon tulad ng username, address, email, telepono, at mga IP address kung saan na-access ang serbisyo, pati na rin ang mga hindi naka-encrypt na pangalan ng site na nakaimbak sa tagapamahala ng password at mga login, password, data ng form, at naka-encrypt na tala na nakaimbak sa mga site na ito. .
Upang protektahan ang mga login at password ng site , ginamit ang AES encryption gamit ang isang 256-bit key na nabuo ng PBKDF2 function batay sa isang master password na alam lamang ng user, na may minimum na laki na 12 character. Ang pag-encrypt at pag-decrypt ng mga login at password sa LastPass ay isinasagawa lamang sa panig ng user, at ang paghula sa master password ay itinuturing na hindi makatotohanan sa modernong hardware, dahil sa laki ng master password at bilang ng mga inilapat na PBKDF2 iteration.
Upang maisagawa ang pag-atake, ginamit nila ang data na nakuha ng mga umaatake noong huling pag-atake na naganap noong Agosto at ito ay isinagawa sa pamamagitan ng pagkompromiso sa account ng isa sa mga developer ng serbisyo.
Ang pag-atake noong Agosto ay nagresulta sa pagkakaroon ng access ng mga attacker sa development environment , application code, at teknikal na impormasyon. Kalaunan ay natuklasan na ginamit ng mga attacker ang data mula sa development environment upang i-target ang isa pang developer, sa gayon ay nakakuha ng mga access key sa cloud storage at mga key upang i-decrypt ang data mula sa mga container na nakaimbak doon. Ang mga nakompromisong cloud server ay nag-host ng mga kumpletong backup ng data ng serbisyo ng manggagawa.
Ang pagbubunyag ay kumakatawan sa isang dramatikong pag-update sa isang paglabag na isiniwalat ng LastPass noong Agosto. Kinilala ng publisher na ang mga hacker ay "kumuha ng mga bahagi ng source code ng LastPass at ilang partikular na teknikal na impormasyon." Sinabi ng kumpanya noong panahong iyon na ang mga master password, naka-encrypt na password, personal na impormasyon, at iba pang data na nakaimbak sa mga account ng customer ay hindi naapektuhan.
256-bit AES at maaari lamang i-decrypt gamit ang isang natatanging decryption key na nagmula sa master password ng bawat user gamit ang aming Zero Knowledge architecture,” paliwanag ng LastPass CEO na si Karim Toubba, na tumutukoy sa Advanced Encryption Scheme. Ang Zero Knowledge ay tumutukoy sa mga storage system na imposibleng ma-crack ng service provider. Nagpatuloy ang CEO:
Naglista rin ito ng ilang solusyon na kinuha ng LastPass upang palakasin ang seguridad nito pagkatapos ng paglabag. Kasama sa mga hakbang ang pag-decommission sa na-hack na development environment at muling pagtatayo mula sa simula, pagpapanatili ng pinamamahalaang endpoint detection at response service, at pag-rotate ng lahat ng nauugnay na kredensyal at certificate na maaaring nakompromiso.
Dahil sa pagiging kumpidensyal ng data na nakaimbak ng LastPass, nakababahala na ang ganoong malawak na hanay ng personal na data ay nakuha. Bagama't ang pag-crack ng mga hash ng password ay magiging masinsinang mapagkukunan, ito ay hindi sa labas ng tanong, lalo na kung ang paraan at katalinuhan ng mga umaatake.
Dapat tiyakin ng mga customer ng LastPass na nabago na nila ang kanilang master password at lahat ng password na nakaimbak sa kanilang vault. Dapat din nilang tiyakin na gumagamit sila ng mga setting na higit pa sa default na configuration ng LastPass.
Ang mga configuration na ito ay nag-aagawan ng mga naka-imbak na password gamit ang 100100 na mga pag-ulit ng Password Based Key Derivation Function (PBKDF2), isang hashing scheme na maaaring gawing imposibleng ma-crack ang mahaba, natatanging master password, at ang random na nabuong 100100 na mga pag-ulit ay nakalulungkot sa ilalim ng OWASP-recommended threshold na 310 mga pag-ulit para sa PBKDF000 kasama ang SHA2 hash algorithm na ginagamit ng LastPass.
Dapat ding maging mapagmatyag ang mga customer ng LastPass laban sa mga phishing email at tawag sa telepono na nagkukunwaring galing sa LastPass o iba pang serbisyo na naghahanap ng sensitibong data at iba pang mga scam na nagsasamantala sa nakompromisong personal na impormasyon. Nag-aalok din ang kumpanya ng mga partikular na gabay para sa mga customer ng negosyo na nagpatupad ng mga serbisyo ng LastPass Federated Login.
Panghuli, kung interesado kang matuto nang higit pa, makikita mo ang mga detalye sa sumusunod na link.