LastPass, orijinal olarak Marvasol, Inc. şirketi tarafından geliştirilen, şifrelenmiş parolaları bulutta depolayan ücretsiz bir parola yöneticisidir.
33 milyondan fazla kişi ve 100.000'den fazla işletme tarafından kullanılan şifre yöneticisi LastPass'in geliştiricileri , saldırganların hizmete ait kullanıcı verilerini içeren depolama alanının yedeklerine erişim sağladığı bir olay hakkında kullanıcıları bilgilendirdi .
Veriler, hizmete erişilen kullanıcı adı, adres, e-posta, telefon ve IP adreslerinin yanı sıra şifre yöneticisinde saklanan şifrelenmemiş site adları ve bu sitelerde saklanan oturum açma bilgileri, şifreler, form verileri ve şifreli notlar gibi bilgileri içeriyordu. .
Site giriş bilgilerini ve şifrelerini korumak için, yalnızca kullanıcı tarafından bilinen ve en az 12 karakter uzunluğunda olan bir ana şifreye dayalı olarak PBKDF2 fonksiyonu tarafından oluşturulan 256 bitlik bir anahtarla AES şifrelemesi kullanılmıştır . LastPass'te giriş bilgilerinin ve şifrelerin şifrelenmesi ve şifresinin çözülmesi yalnızca kullanıcının tarafında gerçekleştirilir ve ana şifrenin boyutu ve uygulanan PBKDF2 yineleme sayısı göz önüne alındığında, modern donanımlarda ana şifreyi tahmin etmek gerçekçi değildir.
Saldırıyı gerçekleştirmek için, ağustos ayında gerçekleşen son saldırı sırasında saldırganlar tarafından elde edilen verileri kullandılar ve hizmet geliştiricilerinden birinin hesabını ele geçirerek gerçekleştirildi.
Ağustos ayındaki saldırı sonucunda saldırganlar geliştirme ortamına , uygulama koduna ve teknik bilgilere erişim sağladı. Daha sonra saldırganların geliştirme ortamındaki verileri kullanarak başka bir geliştiriciyi hedef aldıkları ve böylece bulut depolama alanına erişim anahtarları ve orada depolanan konteynerlerdeki verileri şifre çözme anahtarları elde ettikleri keşfedildi. Ele geçirilen bulut sunucularında çalışanın hizmet verilerinin tam yedekleri bulunuyordu.
Bu açıklama, LastPass'in Ağustos ayında duyurduğu güvenlik ihlaline ilişkin çarpıcı bir güncelleme niteliğinde. Yayıncı, bilgisayar korsanlarının "LastPass'in kaynak kodunun bir kısmını ve bazı özel teknik bilgileri ele geçirdiğini" kabul etmişti. Şirket o dönemde, müşterilerin ana şifrelerinin, şifrelenmiş şifrelerinin, kişisel bilgilerinin ve müşteri hesaplarında saklanan diğer verilerin etkilenmediğini belirtmişti.
LastPass CEO'su Karim Toubba, Advanced Encryption Scheme'e atıfta bulunarak, 256-bit AES ve Zero Knowledge mimarimiz kullanılarak yalnızca her kullanıcının ana parolasından türetilen benzersiz bir şifre çözme anahtarıyla çözülebilir. Sıfır Bilgi, hizmet sağlayıcının kırması imkansız olan depolama sistemlerini ifade eder. CEO şöyle devam etti:
Ayrıca, LastPass'ın güvenlik ihlalinden sonra güvenliğini güçlendirmek için aldığı birkaç çözümü de listeledi. Adımlar, saldırıya uğramış geliştirme ortamının hizmet dışı bırakılmasını ve sıfırdan yeniden oluşturulmasını, yönetilen bir uç nokta algılama ve yanıt hizmetinin sürdürülmesini ve güvenliği ihlal edilmiş olabilecek tüm ilgili kimlik bilgilerinin ve sertifikaların döndürülmesini içerir.
LastPass tarafından saklanan verilerin gizliliği göz önüne alındığında, bu kadar geniş bir yelpazede kişisel verilerin elde edilmiş olması endişe vericidir. Parola karmalarını kırmak yoğun kaynak gerektirse de, özellikle saldırganların yöntemi ve yaratıcılığı göz önüne alındığında, bu söz konusu bile olamaz.
LastPass müşterileri, ana parolalarını ve kasalarında saklanan tüm parolaları değiştirdiklerinden emin olmalıdırlar . Ayrıca, LastPass'ın varsayılan yapılandırmasının ötesinde ayarlar kullandıklarından da emin olmalıdırlar.
Bu yapılandırmalar, uzun, benzersiz ana parolaların kırılmasını imkansız hale getirebilen bir karma şeması olan Parola Tabanlı Anahtar Türetme İşlevinin (PBKDF100100) 2 yinelemesini kullanarak depolanan parolaları karıştırır ve rastgele oluşturulan 100100 yineleme, ne yazık ki OWASP tarafından önerilen 310 eşiğinin altındadır. LastPass tarafından kullanılan SHA000 karma algoritması ile birlikte PBKDF2 için yinelemeler.
LastPass müşterileri ayrıca, LastPass veya diğer hizmetlerden geliyormuş gibi görünen ve hassas verileri ele geçirmeyi amaçlayan kimlik avı e-postalarına ve telefon aramalarına ve ele geçirilmiş kişisel bilgileri kullanan diğer dolandırıcılık yöntemlerine karşı da dikkatli olmalıdır . Şirket ayrıca, LastPass Federasyon Giriş hizmetlerini uygulamaya koymuş kurumsal müşteriler için özel kılavuzlar sunmaktadır.
Son olarak, daha fazla bilgi edinmek isterseniz, ayrıntıları aşağıdaki bağlantıda bulabilirsiniz.