Deweloperzy menedżera haseł LastPass, z którego korzysta ponad 33 mln osób i ponad 100 tys. firm, powiadomili użytkowników o incydencie, w wyniku którego napastnicy uzyskali dostęp do kopii zapasowych skarbca z danymi użytkowników usługi. Dane obejmowały takie informacje jak nazwa użytkownika, adres, e-mail, telefon oraz adresy IP, z których logowano się do usługi, a także zapisane w menedżerze haseł nieszyfrowane nazwy witryn oraz zapisane w zaszyfrowanej formie loginy, hasła, dane formularzy i notatki do tych witryn.
Do ochrony loginów i haseł do witryn wykorzystywane było szyfrowanie AES z 256-bitowym kluczem, generowanym przy użyciu funkcji PBKDF2 opartej na znanym tylko użytkownikowi haśle master, o minimalnej długości 12 znaków. Szyfrowanie i deszyfrowanie loginów i haseł w LastPass odbywa się wyłącznie po stronie użytkownika, a łamanie hasła master uznawane jest za nierealistyczne na współczesnym sprzęcie, biorąc pod uwagę długość hasła oraz zastosowaną liczbę iteracji PBKDF2.
Do przeprowadzenia ataku wykorzystano dane, które napastnicy zdobyli podczas poprzedniego ataku, który miał miejsce w sierpniu i został przeprowadzony poprzez kompromitację konta jednego z deweloperów usługi. Sierpniowe włamanie doprowadziło do uzyskania przez przestępców dostępu do środowiska deweloperskiego, kodu aplikacji i informacji technicznych. Później okazało się, że napastnicy wykorzystali dane ze środowiska deweloperskiego do ataku na innego dewelopera, w wyniku którego udało się uzyskać klucze dostępu do chmury oraz klucze do deszyfrowania danych z przechowywanych tam kontenerów. W skompromitowanej chmurze serwerach znajdowały się pełne kopie zapasowe danych operacyjnych usługi.
Źródło: opennet.ru
