Gli sviluppatori del gestore di password LastPass, utilizzato da oltre 33 milioni di persone e più di 100 mila aziende, hanno avvisato gli utenti di un incidente che ha permesso agli aggressori di accedere alle copie di backup del deposito contenente i dati degli utenti del servizio. I dati includevano informazioni come nome utente, indirizzo, email, telefono e indirizzi IP da cui si è effettuato l'accesso al servizio, insieme ai nomi dei siti non crittografati memorizzati nel gestore di password, e le credenziali, le password, i dati dei moduli e le note sui siti memorizzati in forma crittografata.
Per proteggere i nomi utente e le password dei siti è stata utilizzata la crittografia AES con una chiave a 256 bit, generata utilizzando la funzione PBKDF2 basata su una password principale nota solo all'utente, di almeno 12 caratteri. La crittografia e la decrittazione di nomi utente e password in LastPass avviene esclusivamente lato utente, e la ricerca della password principale è considerata irrealistica con l'hardware moderno, tenendo conto della lunghezza della password principale e del numero di iterazioni applicato con PBKDF2.
Per effettuare l'attacco sono stati utilizzati i dati ottenuti dagli aggressori durante un precedente attacco avvenuto ad agosto, effettuato attraverso la compromissione dell'account di uno degli sviluppatori del servizio. L'hacking di agosto ha portato alla perdita del controllo su un ambiente di sviluppo, codice applicativo e informazioni tecniche. In seguito, è emerso che gli aggressori hanno sfruttato i dati dall'ambiente di sviluppo per attaccare un altro sviluppatore, con il risultato di ottenere le chiavi di accesso al deposito cloud e le chiavi per decrittare i dati dai contenitori memorizzati lì. Nei cloud compromessi server si trovavano copie di backup complete dei dati del servizio in uso.
Fonte: opennet.ru
