Zhvilluesit e menaxherit të fjalëkalimeve LastPass, të cilin e përdorin më shumë se 33 milion njerëz dhe më shumë se 100,000 kompani, njoftuan përdoruesit për një incident, në të cilin sulmuesit arritën të fitonin akses në kopjet rezervë të depozitave me të dhëna të përdoruesve të shërbimit. Të dhënat përfshinin informacione si emri i përdoruesit, adresa, emaili, numri i telefonit dhe adresat IP nga të cilat u krye akses në shërbim, si dhe emrat e faqeve të ruajtur në menaxherin e fjalëkalimeve në formë të pakriptuar dhe fjalëkalimet, të dhënat e formularëve dhe shënimet për këto faqe në formë të enkriptuar.
Për mbrojtjen e fjalëkalimeve dhe emrave të përdoruesve për faqet u përdor enkriptimi AES me një çelës 256-bitësh, i gjeneruar duke përdorur funksionin PBKDF2 në bazë të fjalëkalimit kryesor, të njohur vetëm nga përdoruesi, me një minimum prej 12 karakteresh. Enkriptimi dhe dekritimi i fjalëkalimeve dhe emrave të përdoruesve në LastPass kryhet vetëm në anën e përdoruesit, dhe provoja e fjalëkalimit kryesor konsiderohet e papërshtatshme në pajisjet e sotme, duke marrë parasysh madhësinë e fjalëkalimit kryesor dhe numrin e aplikuar të iteracioneve PBKDF2.
Për kryerjen e sulmit u përdorën të dhënat e marra nga sulmuesit gjatë një sulmi të kaluar, i cili ndodhi në gusht dhe u realizua përmes komprometimit të një llogarie të njërit prej zhvilluesve të shërbimit. Sulmi i gushtit çoi në përftimin e aksesit në ambientin e zhvillimit, kodin e aplikacionit dhe informacione teknike. Më vonë u zbulua se sulmuesit e kishin përdorur informacionin nga ambienti i zhvillimit për të sulmuar një zhvillues tjetër, duke arritur të merrnin çelësa aksesit në depozitat cloud dhe çelësa për dekodimin e të dhënave nga kontenierët që ndodheshin aty. sistemet Këtu ishin kopje të plota rezervash të të dhënave të shërbimit në punë.
Burimi: opennet.ru
