Utvecklarna av lösenordshanteraren LastPass, som används av mer än 33 miljoner personer och över 100 000 företag, har informerat användarna om en incident där angripare lyckades få tillgång till säkerhetskopior av användardata från tjänsten. Datat inkluderade information som användarnamn, adress, e-post, telefonnummer och IP-adresser som användes för inloggning till tjänsten, samt oskyddade webbplatsnamn som sparats i lösenordshanteraren och inloggningar, lösenord, formulärdata och anteckningar om dessa webbplatser som lagrades i krypterad form.
För att skydda inloggningar och lösenord användes AES-kryptering med en 256-bitars nyckel, som genererades med hjälp av PBKDF2-funktionen baserad på ett endast för användaren känt huvudlösenord, som är minst 12 tecken långt. Kryptering och dekryptering av inloggningar och lösenord i LastPass utförs endast på användarens sida, och att knäcka huvudlösenordet betraktas som orealistiskt med modern utrustning, med tanke på storleken på huvudlösenordet och det antal iterationer av PBKDF2 som används.
För att genomföra attacken använde angriparna data som de fått vid en tidigare attack som inträffade i augusti och genomfördes genom att kompromettera ett av utvecklarnas konton. Augustis hack ledde till att angriparna fick tillgång till utvecklingsmiljön, källkoden för applikationen och teknisk information. Senare visade det sig att angriparna utnyttjade data från utvecklingsmiljön för att attackera en annan utvecklare, vilket gjorde att de lyckades få nycklar till cloud-lagring och nycklar för att dekryptera data från de lagrade containrarna. I de komprometterade moln servrar fanns fullständiga säkerhetskopior av data från den aktiva tjänsten.
Källa: opennet.ru
