LastPass 사용자 데이터의 백업 복사본 유출

33만 명 이상의 사람들과 100만 개 이상의 회사에서 사용하는 비밀번호 관리자 LastPass의 개발자는 사용자에게 사고에 대해 알렸으며 그 결과 공격자가 서비스 사용자의 데이터가 포함된 저장소의 백업 복사본에 액세스할 수 있었습니다. . 데이터에는 서비스가 로그인된 사용자 이름, 주소, 이메일, 전화 및 IP 주소와 같은 정보뿐만 아니라 비밀번호 관리자에 저장된 암호화되지 않은 사이트 이름과 암호화된 상태로 저장된 이러한 사이트에 대한 로그인, 비밀번호, 양식 데이터 및 메모가 포함되었습니다. 형태. .

사이트의 로그인 및 비밀번호를 보호하기 위해 사용자에게만 알려진 마스터 비밀번호(최소 256자)를 기반으로 PBKDF2 기능을 사용하여 생성된 12비트 키와 함께 AES 암호화가 사용되었습니다. LastPass에서 로그인과 비밀번호의 암호화 및 암호 해독은 사용자 측에서만 수행되며, 마스터 비밀번호의 크기와 사용된 PBKDF2 반복 횟수를 고려할 때 마스터 비밀번호를 추측하는 것은 최신 하드웨어에서 비현실적인 것으로 간주됩니다.

이들은 이번 공격을 위해 지난 XNUMX월 발생한 지난 공격에서 공격자가 확보한 데이터를 이용해 서비스 개발자 중 한 명의 계정을 해킹했다. XNUMX월 해킹으로 인해 공격자는 개발 환경, 애플리케이션 코드 및 기술 정보에 액세스할 수 있게 되었습니다. 나중에 공격자는 개발 환경의 데이터를 사용하여 다른 개발자를 공격했으며 그 결과 클라우드 스토리지에 대한 액세스 키와 거기에 저장된 컨테이너의 데이터를 해독하는 키를 얻을 수 있었던 것으로 밝혀졌습니다. 손상된 클라우드 서버는 프로덕션 서비스 데이터의 전체 백업을 호스팅했습니다.

출처 : opennet.ru