LastPass 是一款免费增值密码管理器，可在云中存储加密密码，最初由 Marvasol, Inc. 公司开发。
拥有超过 33 万用户和 100.000 万多家企业的密码管理器LastPass的开发商通知用户，攻击者获得了包含该服务用户数据的存储备份的访问权限。
数据包括访问服务的用户名、地址、电子邮件、电话和 IP 地址等信息，以及存储在密码管理器中的未加密站点名称和存储在这些站点上的登录名、密码、表单数据和加密注释.
为了保护网站登录名和密码，LastPass采用了 AES 加密，密钥由 PBKDF2 函数生成，密钥长度为 256 位，且基于用户独有的主密码，该主密码长度至少为 12 个字符。LastPass 中登录名和密码的加密和解密完全在用户端进行，考虑到主密码的长度以及 PBKDF2 函数迭代次数，在现代硬件上猜测主密码几乎是不可能的。
为进行攻击，他们使用了攻击者在 XNUMX 月发生的最后一次攻击中获得的数据，该攻击是通过破坏其中一名服务开发人员的帐户来实现的。
8 月份的攻击导致攻击者获得了开发环境、应用程序代码和技术信息的访问权限。后来发现，攻击者利用开发环境中的数据攻击了另一名开发人员，从而获得了云存储的访问密钥以及解密其中存储容器数据的密钥。被入侵的云服务器托管了该开发人员服务数据的完整备份。
此次披露是对 LastPass 八月份披露的数据泄露事件的重大更新。该公司当时承认，黑客“窃取了 LastPass 的部分源代码和某些专有技术信息”。该公司当时表示，客户的主密码、加密密码、个人信息以及存储在客户账户中的其他数据均未受到影响。
256 位 AES，并且只能使用我们的零知识架构从每个用户的主密码派生的唯一解密密钥进行解密，”LastPass 首席执行官 Karim Toubba 解释说，他指的是高级加密方案。 零知识是指服务提供商无法破解的存储系统。 首席执行官继续说道：
它还列出了 LastPass 在遭到破坏后为加强其安全性而采取的几种解决方案。 步骤包括停用被黑的开发环境并从头开始重建，维护托管端点检测和响应服务，以及轮换所有可能已被破坏的相关凭据和证书。
鉴于 LastPass 存储的数据的机密性，获得如此广泛的个人数据令人担忧。 虽然破解密码哈希会占用大量资源，但这并非不可能，尤其是考虑到攻击者的方法和独创性。
LastPass 用户应确保已更改主密码以及保险库中存储的所有密码。此外，他们还应确保使用的设置高于 LastPass 的默认配置。
这些配置使用基于密码的密钥派生函数 (PBKDF100100) 的 2 次迭代对存储的密码进行打乱，这是一种哈希方案，可以使破解长而唯一的主密码变得不可能，并且随机生成的 100100 次迭代严重低于 OWASP 推荐的阈值 310 PBKDF000 的迭代与 LastPass 使用的 SHA2 哈希算法相结合。
LastPass 用户还应警惕冒充 LastPass或其他服务商的钓鱼邮件和电话，这些邮件和电话旨在窃取敏感数据，并利用泄露的个人信息进行其他诈骗。该公司还为已部署 LastPass 联合登录服务的企业客户提供专门指导。