ຮົ່ວໄຫລຂອງຂໍ້ມູນຜູ້ໃຊ້ LastPass

ນັກພັດທະນາຂອງຜູ້ຈັດການລະຫັດຜ່ານ LastPass, ເຊິ່ງຖືກນໍາໃຊ້ໂດຍຫຼາຍກວ່າ 33 ລ້ານຄົນແລະຫຼາຍກວ່າ 100 ພັນບໍລິສັດ, ໄດ້ແຈ້ງໃຫ້ຜູ້ໃຊ້ຮູ້ວ່າເຫດການດັ່ງກ່າວເປັນຜົນມາຈາກການທີ່ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງສໍາເນົາສໍາຮອງຂອງການເກັບຮັກສາທີ່ມີຂໍ້ມູນຂອງຜູ້ໃຊ້ບໍລິການ. . ຂໍ້ມູນປະກອບມີຂໍ້ມູນເຊັ່ນ: ຊື່ຜູ້ໃຊ້, ທີ່ຢູ່, ອີເມວ, ໂທລະສັບແລະທີ່ຢູ່ IP ຈາກການບໍລິການທີ່ເຂົ້າສູ່ລະບົບ, ເຊັ່ນດຽວກັນກັບຊື່ເວັບໄຊທ໌ທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດທີ່ເກັບໄວ້ໃນຕົວຈັດການລະຫັດຜ່ານແລະການເຂົ້າສູ່ລະບົບ, ລະຫັດຜ່ານ, ຂໍ້ມູນແບບຟອມແລະບັນທຶກສໍາລັບເວັບໄຊທ໌ເຫຼົ່ານີ້ຖືກເກັບໄວ້ໃນລະຫັດລັບ. ຮູບ​ແບບ​.

ເພື່ອປົກປ້ອງການເຂົ້າສູ່ລະບົບ ແລະລະຫັດຜ່ານຂອງເວັບໄຊຕ່າງໆ, ການເຂົ້າລະຫັດ AES ໄດ້ຖືກນໍາໃຊ້ດ້ວຍລະຫັດ 256-ບິດທີ່ສ້າງຂຶ້ນໂດຍໃຊ້ຟັງຊັນ PBKDF2 ໂດຍອີງໃສ່ລະຫັດຜ່ານຫຼັກທີ່ຜູ້ໃຊ້ຮູ້ຈັກເທົ່ານັ້ນ, ໂດຍມີຂະໜາດຕໍາ່ສຸດທີ່ 12 ຕົວອັກສອນ. ການເຂົ້າລະຫັດແລະການຖອດລະຫັດການເຂົ້າສູ່ລະບົບແລະລະຫັດຜ່ານໃນ LastPass ແມ່ນດໍາເນີນຢູ່ໃນຝ່າຍຂອງຜູ້ໃຊ້ເທົ່ານັ້ນ, ແລະການຄາດເດົາລະຫັດຜ່ານຕົ້ນສະບັບແມ່ນຖືວ່າບໍ່ເປັນຈິງໃນຮາດແວທີ່ທັນສະໄຫມ, ເນື່ອງຈາກຂະຫນາດຂອງລະຫັດຜ່ານຕົ້ນສະບັບແລະຈໍານວນ PBKDF2 ທີ່ໃຊ້ຊ້ໍາກັນ.

ການໂຈມຕີດັ່ງກ່າວໄດ້ນຳໃຊ້ຂໍ້ມູນທີ່ຜູ້ໂຈມຕີໄດ້ມາໃນລະຫວ່າງການໂຈມຕີຄັ້ງກ່ອນໃນເດືອນສິງຫາ, ເຊິ່ງກ່ຽວຂ້ອງກັບການທຳລາຍບັນຊີຂອງນັກພັດທະນາບໍລິການຄົນໜຶ່ງ. ການແຮັກໃນເດືອນສິງຫາເຮັດໃຫ້ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງສະພາບແວດລ້ອມການພັດທະນາ, ລະຫັດແອັບພລິເຄຊັນ, ແລະຂໍ້ມູນດ້ານວິຊາການໄດ້. ຕໍ່ມາໄດ້ມີການຄົ້ນພົບວ່າຜູ້ໂຈມຕີໄດ້ໃຊ້ຂໍ້ມູນຈາກສະພາບແວດລ້ອມການພັດທະນາເພື່ອໂຈມຕີນັກພັດທະນາຄົນອື່ນ, ເຊິ່ງສົ່ງຜົນໃຫ້ໄດ້ຮັບລະຫັດການເຂົ້າເຖິງບ່ອນເກັບຂໍ້ມູນໃນຄລາວ ແລະລະຫັດຖອດລະຫັດສຳລັບຕູ້ຄອນເທນເນີທີ່ເກັບໄວ້ຢູ່ທີ່ນັ້ນ. ການບໍລິການຄລາວທີ່ຖືກໂຈມຕີ ເຊີບເວີ ສຳເນົາສຳຮອງຂໍ້ມູນເຕັມຮູບແບບຂອງຂໍ້ມູນການບໍລິການທີ່ເຮັດວຽກໄດ້ຖືກຈັດໄວ້ແລ້ວ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru