דלפו גיבויים של נתוני משתמש LastPass

מפתחי מנהל הסיסמאות LastPass, המשמש יותר מ-33 מיליון אנשים ויותר מ-100 אלף חברות, הודיעו למשתמשים על אירוע שכתוצאה ממנו הצליחו התוקפים לקבל גישה לעותקי גיבוי של האחסון עם נתונים של משתמשי השירות. . הנתונים כללו מידע כגון שם משתמש, כתובת, דואר אלקטרוני, טלפון וכתובות IP מהן התחבר השירות, וכן שמות אתרים לא מוצפנים המאוחסנים במנהל הסיסמאות וכניסות, סיסמאות, נתוני טפסים והערות לאתרים אלו המאוחסנים במוצפן. טופס. .

כדי להגן על כניסות וסיסמאות לאתרים, נעשה שימוש בהצפנת AES עם מפתח 256 סיביות שנוצר באמצעות פונקציית PBKDF2 המבוססת על סיסמת אב הידועה רק למשתמש, בגודל מינימלי של 12 תווים. הצפנה ופענוח של כניסות וסיסמאות ב-LastPass מתבצעים רק בצד המשתמש, וניחוש סיסמת האב נחשבת לא מציאותית בחומרה מודרנית, בהתחשב בגודל סיסמת האב ומספר האיטרציות של PBKDF2 בשימוש.

לצורך ביצוע המתקפה, הם השתמשו בנתונים שהגיעו לידי התוקפים במהלך מתקפה קודמת שהתרחשה באוגוסט ובוצעה באמצעות פשרה של חשבונו של אחד ממפתחי השירות. הפריצה באוגוסט הביאה לתוקפים גישה לסביבת הפיתוח, לקוד האפליקציה ולמידע טכני. מאוחר יותר התברר כי התוקפים השתמשו בנתונים מסביבת הפיתוח כדי לתקוף מפתח אחר, וכתוצאה מכך הם הצליחו להשיג מפתחות גישה לאחסון הענן ומפתחות לפענוח נתונים מהמכולות המאוחסנות בו. שרתי הענן שנפגעו אירחו גיבויים מלאים של נתוני שירות הייצור.

מקור: OpenNet.ru