लास्टपास उपयोगकर्ता डेटा का लीक बैकअप

पासवर्ड मैनेजर लास्टपास के डेवलपर्स, जिसका उपयोग 33 मिलियन से अधिक लोगों और 100 हजार से अधिक कंपनियों द्वारा किया जाता है, ने उपयोगकर्ताओं को एक घटना के बारे में सूचित किया जिसके परिणामस्वरूप हमलावर सेवा उपयोगकर्ताओं के डेटा के साथ भंडारण की बैकअप प्रतियों तक पहुंच प्राप्त करने में कामयाब रहे। . डेटा में उपयोगकर्ता नाम, पता, ईमेल, टेलीफोन और आईपी पते जैसी जानकारी शामिल थी, जहां से सेवा लॉग इन की गई थी, साथ ही पासवर्ड मैनेजर में संग्रहीत अनएन्क्रिप्टेड साइट नाम और एन्क्रिप्टेड में संग्रहीत इन साइटों के लिए लॉगिन, पासवर्ड, फॉर्म डेटा और नोट्स शामिल थे। रूप..

साइटों के लिए लॉगिन और पासवर्ड की सुरक्षा के लिए, AES एन्क्रिप्शन का उपयोग PBKDF256 फ़ंक्शन का उपयोग करके उत्पन्न 2-बिट कुंजी के साथ किया गया था, जो केवल उपयोगकर्ता को ज्ञात मास्टर पासवर्ड पर आधारित था, जिसमें न्यूनतम 12 वर्णों का आकार था। लास्टपास में लॉगिन और पासवर्ड का एन्क्रिप्शन और डिक्रिप्शन केवल उपयोगकर्ता की ओर से किया जाता है, और मास्टर पासवर्ड के आकार और उपयोग किए गए PBKDF2 पुनरावृत्तियों की संख्या को देखते हुए, मास्टर पासवर्ड का अनुमान लगाना आधुनिक हार्डवेयर पर अवास्तविक माना जाता है।

हमले को अंजाम देने के लिए, उन्होंने अगस्त में हुए पिछले हमले के दौरान हमलावरों द्वारा प्राप्त डेटा का उपयोग किया था और यह सेवा डेवलपर्स में से एक के खाते के समझौते के माध्यम से किया गया था। अगस्त हैक के परिणामस्वरूप हमलावरों को विकास परिवेश, एप्लिकेशन कोड और तकनीकी जानकारी तक पहुंच प्राप्त हुई। बाद में यह पता चला कि हमलावरों ने किसी अन्य डेवलपर पर हमला करने के लिए विकास परिवेश से डेटा का उपयोग किया था, जिसके परिणामस्वरूप वे क्लाउड स्टोरेज तक पहुंच कुंजी और वहां संग्रहीत कंटेनरों से डेटा को डिक्रिप्ट करने के लिए कुंजी प्राप्त करने में सक्षम थे। समझौता किए गए क्लाउड सर्वर ने उत्पादन सेवा डेटा का पूर्ण बैकअप होस्ट किया।

स्रोत: opennet.ru