Разработчиците на мениджъра на пароли LastPass, който ползват над 33 милиона души и повече от 100 хиляди компании, уведомиха потребителите за инцидент, при който атакуващите успяха да получат достъп до резервни копия на хранилището с данни на потребителите на услугата. Данните включваха информация като име на потребителя, адрес, имейл, телефон и IP адреси, от които е извършен достъп до услугата, както и съхранени в мениджъра на пароли незашифровани имена на сайтове и съхранени в зашифрован вид логини, пароли, данни от формуляри и бележки за тези сайтове.
За защита на логините и паролите към сайтовете е използвано AES шифроване с 256-битов ключ, генериран с помощта на функцията PBKDF2, базирана на известната само на потребителя главна парола, с дължина минимум 12 символа. Шифроването и разшифроването на логини и пароли в LastPass се извършва само на страната на потребителя, а подбора на главна парола се счита за нереалистичен с днешните технологии, предвид дължината на главната парола и приложеното количество итерации на PBKDF2.
За извършването на атаката са използвани данни, получени от атакуващите по време на предишна атака, случила се през август, извършена чрез компрометиране на акаунта на един от разработчиците на услугата. Августовският хак доведе до попадане на данни в ръцете на злоумышлениците, включващи достъп до среда за разработка, код на приложението и техническа информация. По-късно беше установено, че атакуващите са използвали данните от средата за разработка, за да атакуват друг разработчик, в резултат на което са успели да получат ключовете за достъп до облачно хранилище и ключовете за разшифроване на данните от съхранените там контейнери. На компрометирани облачни сървъри са били разположени пълни резервни копия на данните на работната услуга.
Източник: opennet.ru
