Vývojáři správce hesel LastPass, kterého používá více než 33 milionů lidí a více než 100 tisíc firem, informovali uživatele o incidentu, při kterém se útočníkům podařilo získat přístup k zálohám úložiště s daty uživatelů služby. Data zahrnovala informace jako uživatelské jméno, adresu, email, telefon a IP adresy, ze kterých se do služby přihlašovalo, stejně jako nezabezpečená jména webů uložená ve správci hesel a šifrované přihlašovací údaje, hesla, údaje z formulářů a poznámky k těmto webům.
Pro ochranu přihlašovacích údajů a hesel k webům se používalo šifrování AES s klíčem o délce 256 bitů, generovaným pomocí funkce PBKDF2 na základě hesla, které zná pouze uživatel, o délce minimálně 12 znaků. Šifrování a dešifrování přihlašovacích údajů a hesel v LastPassu se provádí pouze na straně uživatele, přičemž prolomení master hesla se považuje za nerealistické s moderním vybavením, vzhledem k délce master hesla a počtu iterací PBKDF2.
K provedení útoku byly použity údaje, které útočníci získali během předchozího útoku, ke kterému došlo v srpnu a který byl proveden prostřednictvím kompromitace účtu jednoho z vývojářů služby. Srpnový hack vedl k tomu, že se útočníci dostali k vývojovému prostředí, kódu aplikace a technickým informacím. Později se ukázalo, že útočníci využili data z vývojového prostředí k útoku na jiného vývojáře, při kterém se podařilo získat přístupové klíče k cloudovému úložišti a klíče pro dešifrování dat z tam uložených kontejnerů. Na kompromitovaných cloudech serverech byly uloženy kompletní zálohy dat pracovního servisu.
Zdroj: opennet.ru
