Os desenvolvedores do gerenciador de senhas LastPass, que é utilizado por mais de 33 milhões de pessoas e mais de 100 mil empresas, notificaram os usuários sobre um incidente que permitiu que os hackers acessassem cópias de segurança do armazenamento de dados dos usuários do serviço. Os dados incluíam informações como nome de usuário, endereço, e-mail, telefone e endereços IP usados para acessar o serviço, bem como os nomes de sites armazenados no gerenciador de senhas em texto não criptografado, além de logins, senhas, dados de formulários e notas associados a esses sites, que estavam em formato criptografado.
Para proteger logins e senhas dos sites, foi utilizada a criptografia AES com uma chave de 256 bits, gerada pela função PBKDF2 com base na senha mestra conhecida apenas pelo usuário, que contém pelo menos 12 caracteres. A criptografia e a descriptografia de logins e senhas no LastPass são realizadas apenas do lado do usuário, e a quebra da senha mestra é considerada irrealista com o hardware moderno, considerando o tamanho da senha mestra e o número de iterações aplicadas no PBKDF2.
Para realizar o ataque, foram utilizados dados obtidos pelos hackers durante um ataque anterior realizado em agosto, que foi possível por meio da comprometimento de uma conta de um dos desenvolvedores do serviço. O ataque de agosto levou os criminosos a acessarem o ambiente de desenvolvimento, o código do aplicativo e informações técnicas. Posteriormente, foi descoberto que os atacantes aproveitaram os dados do ambiente de desenvolvimento para atacar outro desenvolvedor, resultando na obtenção de chaves de acesso ao armazenamento em nuvem e chaves para descriptografar dados dos containers armazenados lá. Nos containers comprometidos, servidores estavam completas cópias de segurança dos dados do serviço em funcionamento.
Fonte: opennet.ru
