Pagājušais gads bija īpaši slikts paroļu pārvaldniekam LastPass, jo virkne uzlaušanas gadījumu atklāja dažus nopietnus trūkumus tā šķietami stabilajā drošībā. Tagad mēs precīzi zinām, kā šie uzbrukumi norisinājās, un fakti ir diezgan elpu aizraujoši.
Viss sākās 2022. gada augustā, kad LastPass atklāja, ka kādam aktierim ir bijuši draudi nozagts lietotnes avota kods. Otrajā uzbrukumā hakeris apvienoja šos datus ar informāciju, kas tika atrasta atsevišķā datu pārkāpumā, un pēc tam izmantoja nepilnības attālās piekļuves lietotnē, ko izmantoja LastPass darbinieki. Tas viņiem ļāva instalēt taustiņu bloķētāju uzņēmuma vecākā inženiera datorā.
Kad tastaustiņu bloķētājs bija izveidots, hakeri varēja iegūt inženiera LastPass galveno paroli. kā tas tika ievadīts, nodrošinot viņiem piekļuvi darbinieka glabātuvei un visiem tajā esošajiem noslēpumiem ietvaros.
Saistīts
- Iespējams, hakeri ir nozaguši cita paroļu pārvaldnieka galveno atslēgu
- NordPass pievieno piekļuves atslēgu atbalstu, lai izraidītu jūsu vājās paroles
- Hakeri iedziļinājās masveida LastPass drošības pārkāpumā
Viņi izmantoja šo piekļuvi, lai eksportētu glabātuves saturu. Datu vidū bija atšifrēšanas atslēgas, kas nepieciešamas, lai atšifrētu klientu dublējumus, kas saglabāti LastPass mākoņa krātuves sistēmā.
Ieteiktie videoklipi
Tas ir svarīgi, jo LastPass glabāja ražošanas dublējumus un kritiskās datu bāzes dublējumkopijas mākonī. Tika nozagts arī liels daudzums sensitīvu klientu datu, lai gan šķiet, ka hakeri nevarēja tos atšifrēt. LastPass atbalsta lapas informācija tieši to, kas tika nozagts.
Apšaubāma caurspīdīgums
Par laimi LastPass lietotājiem šķiet, ka klientu sensitīvākie dati, piemēram, (lielākā daļa) e-pasta adreses un paroles, tika šifrēti, izmantojot nulles zināšanu metodi. Tas nozīmē, ka tie tika šifrēti ar atslēgu, kas iegūta no katra lietotāja galvenās paroles un nav zināma LastPass. Kad hakeri nozaga LastPass datus, viņi nevarēja iegūt šīs atšifrēšanas atslēgas, jo LastPass tās nekur nesaglabāja.
Tas nozīmē, ka draudu dalībnieki ir ieguvuši daudz svarīgu datu. Tas ietvēra LastPass daudzfaktoru autentifikācijas datu bāzes dublējumus, API noslēpumus, klientu metadatus, konfigurācijas datus un daudz ko citu. Turklāt šķiet, ka ir daudz produktu, izņemot LastPass tika arī pārkāpti.
Uz atbalsta lapa, LastPass teica, ka otrais uzbrukums tika veikts, izmantojot īstus darbinieku pieteikšanās datus, apgrūtināja tā noteikšanu. Galu galā uzņēmums saprata, ka kaut kas nav kārtībā, kad tā AWS GuardDuty Alerts sistēma brīdināja, ka kāds mēģināja izmantot savas mākoņa identitātes un piekļuves pārvaldības lomas, lai veiktu neatļautu darbību aktivitāte.
Pēdējo mēnešu laikā LastPass ir saņēmis daudz kritikas par uzbrukumu veikšanu, un, ņemot vērā jaunākās atklāsmes, šī noraidošā attieksme, visticamāk, nemirs. Faktiski viens apsardzes uzņēmums paziņoja, ka LastPass nav uzticama lietotne un ka lietotāji pārslēdzieties uz dažādiem paroļu pārvaldniekiem.
Šobrīd LastPass acīmredzot mēģina slēpt savas uzbrukuma atbalsta lapas no meklētājprogrammām, pievienojot “” kodu lapām. Tas tikai apgrūtinās lietotājiem (un plašākai pasaulei) uzzināt, kas noticis, un diez vai tas tiek darīts caurskatāmības un atbildības garā. Arī uzņēmuma blogā nekas nav publicēts.
Ja esat LastPass klients, iespējams, labāk ir atrast alternatīvu lietotni. Par laimi, ir daudz citu lieliski paroļu pārvaldnieki kas var droši aizsargāt jūsu svarīgo informāciju.
Redaktoru ieteikumi
- Šīs apkaunojošās paroles uzlauza slavenības
- Nē, 1Password netika uzlauzta — lūk, kas patiesībā notika
- Šī milzīgā paroļu pārvaldnieka izmantošana, iespējams, nekad netiks novērsta
- Labākie paroļu pārvaldnieki 2023. gadam
- Vai izmantojat LastPass? Jums steidzami jāmaina, saka apsardzes firma
Uzlabojiet savu dzīvesveiduDigitālās tendences palīdz lasītājiem sekot līdzi steidzīgajai tehnoloģiju pasaulei, izmantojot visas jaunākās ziņas, jautrus produktu apskatus, ieskatu saturošus rakstus un unikālus ieskatus.
