Udviklerne af password manageren LastPass, som bruges af mere end 33 millioner mennesker og over 100.000 virksomheder, har informeret brugerne om en hændelse, hvor angribere fik adgang til backupkopier af opbevaringen af brugerdata. Dataene omfattede oplysninger som brugernavn, adresse, e-mail, telefonnummer og IP-adresser, hvorfra der blev logget ind på tjenesten, samt de ikke-krypterede webstedsnavne, der blev gemt i password manageren, og de krypterede loginoplysninger, adgangskoder, formularoplysninger og noter til disse websteder.
Til beskyttelse af login og adgangskoder til websteder blev der anvendt AES-kryptering med en 256-bit nøgle, der blev genereret ved hjælp af PBKDF2-funktionen baseret på den kun kendte masteradgangskode, som skal være mindst 12 tegn lang. Krypteringen og dekrypteringen af loginoplysninger og adgangskoder i LastPass udføres kun på brugerens side, og gætningen af masteradgangskoden betragtes som urealistisk på moderne hardware, givet størrelsen på masteradgangskoden og det anvendte antal PBKDF2-iterationer.
Til angrebet blev der brugt data, som angriberne havde fået fat i under et tidligere angreb, der fandt sted i august og blev udført gennem kompromittering af en af udviklernes konti. August-angrebet medførte, at angriberne fik adgang til udviklingsmiljøet, applikationskoden og teknisk information. Senere blev det klart, at angriberne udnyttede oplysningerne fra udviklingsmiljøet til at angribe en anden udvikler, hvilket resulterede i, at de fik adgang til nøglerne til cloud-lagringen og nøglerne til dekryptering af dataene fra de opbevarede containere. På de kompromitterede cloud-løsninger servere blev der opbevaret komplette backupkopier af dataene fra den fungerende tjeneste.
Kilde: opennet.ru
