Gli sviluppatori del gestore di password LastPass, utilizzato da oltre 33 milioni di persone e più di 100.000 aziende, hanno avvisato gli utenti di un incidente che ha consentito agli aggressori di accedere ai backup dello storage dei dati degli utenti del servizio. I dati includevano informazioni come nome utente, indirizzo, email, numero di telefono e indirizzi IP da cui si è effettuato l'accesso al servizio, oltre ai nomi di siti non crittografati memorizzati nel gestore di password e alle credenziali, come login e password, memorizzate in forma crittografata, insieme ai dati dei moduli e alle note relative a questi siti.
Per proteggere i login e le password dei siti, è stata utilizzata la crittografia AES con chiave a 256 bit, generata usando la funzione PBKDF2 basata su una master password nota solo all'utente, lunga almeno 12 caratteri. La crittografia e la decrittografia dei login e delle password in LastPass avviene esclusivamente lato utente, e un attacco alla master password è considerato poco realistico con l'hardware moderno, date le dimensioni della master password e il numero di iterazioni di PBKDF2 applicato.
Per condurre l'attacco sono stati utilizzati dati ottenuti dagli aggressori durante un attacco precedente, avvenuto ad agosto e realizzato attraverso la compromissione dell'account di uno degli sviluppatori del servizio. L'hacking di agosto ha portato gli aggressori a ottenere accesso all'ambiente di sviluppo, al codice applicativo e alle informazioni tecniche. In seguito, è emerso che gli aggressori hanno sfruttato i dati dall'ambiente di sviluppo per attaccare un altro sviluppatore, il quale ha portato all'ottenimento delle chiavi di accesso al storage cloud e delle chiavi per decrittografare i dati contenuti nei contenitori lì memorizzati. Nei cloud compromessi server erano presenti copie di backup complete dei dati del servizio in funzione.
Fonte: opennet.ru
