33 milyondan çox insanın və 100 XNUMX-dən çox şirkətin istifadə etdiyi LastPass parol menecerinin tərtibatçıları təcavüzkarların xidmət istifadəçilərinin məlumatları ilə yaddaşın ehtiyat nüsxələrinə giriş əldə edə bildiyi insident barədə istifadəçiləri xəbərdar ediblər. . Məlumatlara xidmətə daxil olan istifadəçi adı, ünvan, e-poçt, telefon və IP ünvanları, həmçinin parol menecerində saxlanılan şifrələnməmiş sayt adları və bu saytlarda saxlanılan şifrələnmiş loginlər, parollar, forma məlumatları və qeydlər daxil idi.
Saytlar üçün giriş və parolları qorumaq üçün AES şifrələməsi minimum 256 simvol ölçüsü ilə yalnız istifadəçiyə məlum olan əsas parol əsasında PBKDF2 funksiyasından istifadə etməklə yaradılan 12 bitlik açarla istifadə edilmişdir. LastPass-da giriş və parolların şifrələnməsi və şifrəsinin açılması yalnız istifadəçi tərəfində həyata keçirilir və əsas parolun ölçüsünü və tətbiq olunan PBKDF2 iterasiyalarının sayını nəzərə alaraq, əsas parolun təxmin edilməsi müasir avadanlıqlarda qeyri-real hesab olunur.
Hücumun həyata keçirilməsi üçün hücumçuların avqust ayında baş vermiş sonuncu hücum zamanı əldə etdikləri və servisin tərtibatçılarından birinin hesabının kompromissi vasitəsilə həyata keçirilən məlumatlardan istifadə ediblər. Avqust sındırılması təcavüzkarların inkişaf mühitinə, proqram koduna və texniki məlumatlara giriş əldə etməsi ilə nəticələndi. Sonradan məlum olub ki, təcavüzkarlar başqa tərtibatçıya hücum etmək üçün inkişaf mühitindən məlumatlardan istifadə ediblər, nəticədə onlar bulud yaddaşına giriş açarları və orada saxlanılan konteynerlərdən məlumatların şifrəsini açmaq üçün açarlar əldə edə biliblər. Təhlükəli bulud serverlərində işçi xidməti məlumatlarının tam ehtiyat nüsxələri yerləşdirilib.
Mənbə: opennet.ru