Die Entwickler des Passwortmanagers LastPass, der von mehr als 33 Millionen Menschen und über 100.000 Unternehmen genutzt wird, haben die Benutzer über einen Vorfall informiert, bei dem Angreifern der Zugriff auf Sicherungskopien des Speichers mit Nutzerdaten des Dienstes gelang. Die Daten umfassten Informationen wie Benutzernamen, Adresse, E-Mail, Telefonnummer und IP-Adressen, von denen aus auf den Dienst zugegriffen wurde, sowie unverschlüsselte Namen der Seiten, die im Passwortmanager gespeichert sind, und die im verschlüsselten Zustand gespeicherten Logins, Passwörter, Formulardaten und Notizen zu diesen Seiten.
Zum Schutz der Logins und Passwörter für die Websites wurde die AES-Verschlüsselung mit einem 256-Bit-Schlüssel verwendet, der unter Verwendung der PBKDF2-Funktion basierend auf dem nur dem Benutzer bekannten Masterpasswort generiert wird, das mindestens 12 Zeichen umfasst. Die Verschlüsselung und Entschlüsselung der Logins und Passwörter in LastPass erfolgt nur auf der Seite des Benutzers, und die Knackung des Masterpassworts wird unter Berücksichtigung der Länge und der angewandten Anzahl von PBKDF2-Iterationen als unrealistisch mit moderner Hardware angesehen.
Für den Angriff wurden Daten verwendet, die die Angreifer im Rahmen eines vorherigen Angriffs im August erhalten hatten, der durch die Kompromittierung eines Kontos eines der Entwickler des Dienstes erfolgte. Der August-Angriff führte dazu, dass die Angreifer Zugang zu einer Entwicklungsumgebung, dem Anwendungscode und technischen Informationen erlangten. Später stellte sich heraus, dass die Angreifer die Daten aus der Entwicklungsumgebung nutzten, um einen anderen Entwickler anzugreifen, wodurch sie Zugriffsschlüssel zum Cloud-Speicher und Schlüssel zur Entschlüsselung der Daten in den dort gespeicherten Containern erlangten. In den kompromittierten Cloud- Servern waren vollständige Sicherungskopien der Daten des laufenden Dienstes gespeichert.
Quelle: opennet.ru
