A LastPass jelszókezelő fejlesztői, akiket több mint 33 millió ember és több mint 100 ezer cég használ, értesítették a felhasználókat egy incidensről, amely során a támadóknak sikerült hozzáférnie a felhasználói adatok biztonsági mentéseihez. Az adatok között szerepeltek olyan információk, mint a felhasználónév, cím, e-mail, telefon és az IP-címek, ahonnan a szolgáltatásba beléptek, valamint a jelszókezelőben tárolt, titkosítatlan weboldal-nevek és a titkosított formában tárolt bejelentkezési adatok, jelszavak, űrlapadatok és megjegyzések ezen weboldalakra.
A weboldalak bejelentkezési adatai és jelszavai védelmét 256 bites AES titkosítás biztosította, amelyet a felhasználónak ismert mesterjelszó alapján generált PBKDF2 függvény segítségével állítottak elő, minimum 12 karakterből állva. A bejelentkezési adatok és jelszavak titkosítása és visszafejtése a LastPass rendszerében kizárólag a felhasználó oldalán történik, és a mesterjelszó kitalálása a modern felszerelés mellett irreálisnak számít, figyelembe véve a mesterjelszó méretét és a PBKDF2 alkalmazott iterációinak számát.
A támadáshoz használt adatokat a támadók egy korábbi, augusztusi támadás során szerezték meg, amely egy a szolgáltatás egyik fejlesztőjének fiókjának kompromittálásával zajlott. Az augusztusi hackertámadás során a bűnözők hozzáfértek a fejlesztési környezethez, az alkalmazáskódhoz és a technikai információkhoz. Később kiderült, hogy a támadók a fejlesztési környezet adatait felhasználva egy másik fejlesztő ellen indítottak támadást, amelynek következtében sikerült hozzájutniuk a felhőtárolóhoz férési kulcsokhoz és az ott tárolt konténerek adataihoz való visszafejtési kulcsokhoz. A kompromittált felhőalapú szervereken a teljes biztonsági másolatok találhatók a működő szolgáltatás adatainak.
Forrás: opennet.ru
