Razvijalci upravitelja gesla LastPass, ki ga uporablja več kot 33 milijonov ljudi in več kot 100 tisoč podjetij, so uporabnike obvestili o incidentu, v katerem so hekerji uspeli pridobiti dostop do varnostnih kopij skladišča z uporabniškimi podatki storitve. Podatki so vključevali informacije, kot so uporabniško ime, naslov, email, telefon in IP-naslovi, s katerih je bil dostop do storitve, ter neshifrirana imena spletnih mest in shranjeni šifrirani prijavni podatki, gesla, podatki obrazcev in opombe k tem spletnim mestom.
Za zaščito prijavnih podatkov in gesel za spletna mesta se je uporabljalo AES šifriranje z 256-bitnim ključem, ki se generira z uporabo funkcije PBKDF2, ki temelji izključno na uporabnikovem glavnem geslu, dolgem najmanj 12 znakov. Šifriranje in dešifriranje prijavnih podatkov in gesel v LastPass se izvaja le na uporabnikovi strani, napad na glavno geslo pa se obravnava kot nerealističen na sodobni opremi, upoštevajoč dolžino glavnega gesla in število iteracij PBKDF2.
Za izvedbo napada so hekerji uporabili podatke, pridobljene v prejšnjem napadu, ki se je zgodil avgusta in bil izveden s kompromitacijo računa enega od razvijalcev storitve. Avgustovski vdor je omogočil hekerjem dostop do razvojnega okolja, kode aplikacije in tehničnih informacij. Kasneje je bilo ugotovljeno, da so hekerji izkoristili podatke iz razvojnega okolja za napad na drugega razvijalca, kar je omogočilo pridobitev dostopa do oblačnih shrambe in ključev za dešifriranje podatkov iz tam shranjenih kontejnerjev. Na kompromitiranih oblačnih serverima so bile shranjene celotne varnostne kopije podatkov delujoče storitve.
Izvor: opennet.ru
