De ontwikkelaars van de wachtwoordbeheerder LastPass, die door meer dan 33 miljoen mensen en meer dan 100.000 bedrijven wordt gebruikt, hebben gebruikers geïnformeerd over een incident waarbij aanvallers toegang hebben gekregen tot back-ups van de opslag met gebruikersgegevens van de dienst. De gegevens omvatten informatie zoals gebruikersnamen, adressen, e-mails, telefoonnummers en IP-adressen van waaruit toegang tot de dienst is verkregen, evenals onversleutelde sitenamen en in versleutelde vorm opgeslagen inloggegevens, wachtwoorden, formuliergegevens en opmerkingen over deze websites.
Voor de bescherming van inloggegevens en wachtwoorden werd AES-versleuteling met een sleutel van 256 bits gebruikt, die werd gegenereerd met behulp van de PBKDF2-functie op basis van het enkel aan de gebruiker bekende hoofdwachtwoord, dat minimaal 12 tekens groot is. De versleuteling en ontsleuteling van inloggegevens en wachtwoorden in LastPass gebeurt alleen aan de kant van de gebruiker, en het kraken van het hoofdwachtwoord wordt als onrealistisch beschouwd op moderne hardware, gezien de grootte van het hoofdwachtwoord en het aantal toepasbare iteraties van PBKDF2.
Voor het uitvoeren van de aanval werden gegevens gebruikt die door de aanvallers waren verkregen tijdens een eerdere aanval in augustus, die plaatsvond door de compromittering van het account van een van de ontwikkelaars van de dienst. De hack in augustus leidde tot toegang van kwaadwillenden tot de ontwikkelomgeving, de applicatiecode en technische informatie. Later bleek dat de aanvallers gegevens uit de ontwikkelomgeving hadden gebruikt om een andere ontwikkelaar aan te vallen, waarmee ze toegangsknoppen voor de cloudopslag en de sleutels voor het ontsleutelen van de gegevens in de daar opgeslagen containers konden verkrijgen. In de gecompromitteerde cloud servers waren volledige back-ups van de gegevens van de werkende dienst opgeslagen.
Bron: opennet.ru
