Zhvilluesit e menaxherit të fjalëkalimeve LastPass, të cilin e përdorin më shumë se 33 milion njerëz dhe më shumë se 100 mijë kompani, njoftuan përdoruesit për një incident, si rezultat i të cilit sulmuesit arritën tëaksesojnë kopjet rezervë të ruajtjes me të dhënat e përdoruesve të shërbimit. Të dhënat përfshinin informacione të tilla si emri i përdoruesit, adresa, emaili, telefoni dhe adresat IP nga të cilat ishte bërë hyrja në shërbim, si dhe emrat e faqeve të ruajtur në menaxherin e fjalëkalimeve në formë të paenkriptuar dhe fjalëkalimet, të dhënat e formularëve dhe shënimet për këto faqe, të ruajtura në formë të enkriptuar.
Për të mbrojtur fjalëkalimet dhe logimet për faqe të ndryshme, është përdorur enkriptimi AES me çelës 256-bit, i gjeneruar duke përdorur funksionin PBKDF2, mbi bazën e fjalëkalimit master që e njeh vetëm përdoruesi, me një gjatësi minimale prej 12 karakteresh. Enkriptimi dhe dekritimi i logimeve dhe fjalëkalimeve në LastPass kryhet vetëm nga ana e përdoruesit, ndërsa gjetja e fjalëkalimit master konsiderohet si e pamundur me pajisjet e sotme, duke marrë parasysh gjatësi e fjalëkalimit master dhe numrin e iteracioneve të aplikuara të PBKDF2.
Për realizimin e sulmit janë përdorur të dhëna, të marra nga sulmuesit gjatë një sulmi të kaluar, që ndodhi në gusht dhe u realizua përmes kompromentimit të llogarisë së njërit prej zhvilluesve të shërbimit. Sulmi i gushtit çoi në një komprometim të ri dhe në aksesin e kodit të aplikacionit dhe të dhënave teknike. Më pas, u zbulua se sulmuesit kishin përdorur të dhënat nga mjedisi për zhvillim për të sulmuar një zhvillues tjetër, si rezultat i të cilit arritën të merrnin çelësat e aksesit në ruajtjen në re dhe çelësat për dekritimin e të dhënave nga kontejnerët e ruajtur aty. Në re të kompromentuar, serverë ishin të vendosura kopje të plota rezervë të të dhënave të shërbimit në punë.
Burimi: opennet.ru
