LastPass là trình quản lý mật khẩu freemium lưu trữ mật khẩu được mã hóa trên đám mây, ban đầu được phát triển bởi công ty Marvasol, Inc.
Các nhà phát triển của phần mềm quản lý mật khẩu LastPass , được hơn 33 triệu người và hơn 100.000 doanh nghiệp sử dụng, đã thông báo cho người dùng về một sự cố trong đó tin tặc đã truy cập được vào các bản sao lưu dữ liệu người dùng của dịch vụ.
Dữ liệu bao gồm thông tin như tên người dùng, địa chỉ, email, điện thoại và địa chỉ IP mà dịch vụ được truy cập, cũng như tên trang web không được mã hóa được lưu trữ trong trình quản lý mật khẩu và thông tin đăng nhập, mật khẩu, dữ liệu biểu mẫu và ghi chú được mã hóa được lưu trữ trên các trang web này .
Để bảo vệ thông tin đăng nhập và mật khẩu , hệ thống sử dụng mã hóa AES với khóa 256 bit được tạo bởi hàm PBKDF2 dựa trên mật khẩu chính chỉ người dùng biết, với kích thước tối thiểu 12 ký tự. Quá trình mã hóa và giải mã thông tin đăng nhập và mật khẩu trong LastPass được thực hiện hoàn toàn ở phía người dùng, và việc đoán mật khẩu chính được coi là không khả thi trên phần cứng hiện đại, xét đến kích thước của mật khẩu chính và số lần lặp của hàm PBKDF2 được áp dụng.
Để thực hiện cuộc tấn công, họ đã sử dụng dữ liệu mà những kẻ tấn công thu được trong cuộc tấn công cuối cùng xảy ra vào tháng XNUMX và nó được thực hiện bằng cách xâm phạm tài khoản của một trong những nhà phát triển dịch vụ.
Vụ tấn công hồi tháng 8 đã giúp tin tặc giành được quyền truy cập vào môi trường phát triển , mã ứng dụng và thông tin kỹ thuật. Sau đó, người ta phát hiện ra rằng tin tặc đã sử dụng dữ liệu từ môi trường phát triển để nhắm mục tiêu vào một lập trình viên khác, từ đó thu được khóa truy cập vào bộ nhớ đám mây và khóa giải mã dữ liệu từ các container được lưu trữ ở đó. Các máy chủ đám mây bị xâm nhập lưu trữ toàn bộ bản sao lưu dữ liệu dịch vụ của nhân viên đó.
Thông tin được tiết lộ này là một diễn biến mới đáng kể so với vụ vi phạm bảo mật mà LastPass đã công bố hồi tháng 8. Nhà phát hành này thừa nhận rằng tin tặc đã “lấy cắp một phần mã nguồn của LastPass và một số thông tin kỹ thuật độc quyền”. Công ty cho biết vào thời điểm đó rằng mật khẩu chính, mật khẩu được mã hóa, thông tin cá nhân và dữ liệu khác được lưu trữ trong tài khoản khách hàng không bị ảnh hưởng.
256-bit AES và chỉ có thể được giải mã bằng một khóa giải mã duy nhất được lấy từ mật khẩu chính của mỗi người dùng bằng kiến trúc Zero Knowledge của chúng tôi,” CEO Karim Toubba của LastPass giải thích, đề cập đến Sơ đồ mã hóa nâng cao. Zero Knowledge đề cập đến các hệ thống lưu trữ mà nhà cung cấp dịch vụ không thể bẻ khóa. Vị CEO nói tiếp:
Nó cũng liệt kê một số giải pháp mà LastPass đã thực hiện để tăng cường bảo mật sau vụ vi phạm. Các bước bao gồm ngừng hoạt động môi trường phát triển bị tấn công và xây dựng lại từ đầu, duy trì dịch vụ phản hồi và phát hiện điểm cuối được quản lý, đồng thời xoay vòng tất cả thông tin đăng nhập và chứng chỉ có liên quan có thể đã bị xâm phạm.
Với tính bảo mật của dữ liệu do LastPass lưu trữ, thật đáng báo động khi một lượng lớn dữ liệu cá nhân như vậy đã bị thu thập. Mặc dù việc bẻ khóa băm mật khẩu sẽ tốn nhiều tài nguyên, nhưng điều đó không phải là không thể, đặc biệt là với phương pháp và sự khéo léo của những kẻ tấn công.
Khách hàng của LastPass nên đảm bảo rằng họ đã thay đổi mật khẩu chính và tất cả các mật khẩu được lưu trữ trong kho mật khẩu của mình. Họ cũng nên đảm bảo rằng họ đang sử dụng các cài đặt vượt quá cấu hình mặc định của LastPass.
Các cấu hình này tranh giành mật khẩu được lưu trữ bằng cách sử dụng 100100 lần lặp lại của Hàm dẫn xuất khóa dựa trên mật khẩu (PBKDF2), một lược đồ băm có thể khiến không thể bẻ khóa các mật khẩu chính dài và duy nhất và 100100 lần lặp lại được tạo ngẫu nhiên nằm dưới ngưỡng 310 lần lặp lại do OWASP đề xuất cho PBKDF000 kết hợp với thuật toán băm SHA2 được sử dụng bởi LastPass.
Khách hàng của LastPass cũng nên cảnh giác với các email và cuộc gọi lừa đảo giả danh LastPass hoặc các dịch vụ khác nhằm mục đích thu thập dữ liệu nhạy cảm và các chiêu trò lừa đảo khác lợi dụng thông tin cá nhân bị xâm phạm. Công ty cũng cung cấp hướng dẫn cụ thể cho khách hàng doanh nghiệp đã triển khai dịch vụ Đăng nhập Liên kết LastPass.
Cuối cùng, nếu bạn muốn tìm hiểu thêm, bạn có thể xem chi tiết tại liên kết sau.