تحديث اختراق LastPass – 22 أغسطس – 22 ديسمبر

26 يناير التحديث 3:

قام موقع CyberHoot بصياغة مقال جديد بعنوان LastPass بعنوان: Last Straw for LastPass بشكل منفصل مع معايير لاختيار مدير كلمات مرور بديل.

23 ديسمبر 2022 التحديث 2:

نشر موقع Naked Security مقالاً يُفصّل وجهة نظره حول اختراق LastPass واعترافه بسرقة الخزائن المشفرة. وقدّم المقال بعض التعليقات والرؤى القيّمة. وقد دفع هذا موقع CyberHoot إلى التفكير ملياً في الأمر...

لقد خزّنا معلومات بطاقات الائتمان الخاصة بنا في LastPass لتسهيل عملية ملء النماذج. هل سنلغي بطاقات الائتمان ونعيد إصدارها؟ بصراحة، لن أفعل. كانت كلمة المرور الرئيسية الخاصة بي طويلة ومعقدة للغاية، لدرجة أن الجهد المطلوب لاختراقها، وفقًا لمقياس قوة كلمات المرور على هذا الموقع، كان: 7 كوادريليون سنة! يا للراحة!

23 ديسمبر 2022: تحديث اختراق CyberHoot LastPass:

أصدرت شركة LastPass معلومات جديدة حول أحدث إعلان لها عن الاختراق في 30 نوفمبر، حيث رصدت عمليات الرصد اختراقًا جديدًا (مرتبطًا باختراق أغسطس). في هذا التحديث الصادر بتاريخ 12 ديسمبر 22، أقرّت الشركة باعتقادها أن خزائن كلمات مرور العملاء المشفرة بتقنية AES 2022 بت قد سُرقت من جهة خارجية. وهذه هي المرة الأولى التي تُقرّ فيها الشركة بتعرض بيانات عملائها للخطر. إليكم رأيها في هذا الموقف:

22 ديسمبر، تحديث مدونة LastPass:  

إذا استخدمت الإعدادات الافتراضية أعلاه، فسيستغرق الأمر ملايين السنين لتخمين كلمة مرورك الرئيسية باستخدام تقنية كسر كلمات المرور المتاحة للجميع. ستظل بياناتك الحساسة في الخزنة، مثل أسماء المستخدمين وكلمات المرور والملاحظات الآمنة والمرفقات وحقول تعبئة النماذج، مشفرة بشكل آمن استنادًا إلى بنية LastPass "المعرفة الصفرية". لا توجد إجراءات موصى بها عليك اتخاذها حاليًا.

مع ذلك، من المهم ملاحظة أنه إذا لم تستخدم كلمة مرورك الرئيسية الإعدادات الافتراضية المذكورة أعلاه، فسيؤدي ذلك إلى تقليل عدد المحاولات اللازمة لتخمينها بشكل كبير. في هذه الحالة، وكإجراء أمني إضافي، يُنصح بتقليل المخاطر بتغيير كلمات مرور مواقع الويب المُخزّنة لديك.

إذن، ماذا يعني هذا لجميع مستخدمي LastPass، أو للشركات التي وفّرت LastPass لمستخدميها؟ في الواقع، يتطلب الأمر جهدًا كبيرًا.

تقييم تأثير CyberHoot:

يدرك فريقنا حقيقة ما يلي: في العديد من بيئات LastPass التي أشرفنا عليها خلال العقد الماضي، ورغم مقاطع الفيديو التدريبية وسياسات كلمات المرور التي تشترط استخدام كلمات مرور لا تقل عن 14 حرفًا (أطول بحرفين من كلمات المرور الافتراضية في LastPass)، فقد لاحظنا وجود العديد من كلمات المرور الرئيسية الضعيفة. لذا، ونظرًا لقلة استخدام كلمات المرور القوية بشكل عام، فإن هذه المعلومات الجديدة حول اختراق LastPass تستدعي من CyberHoot تقديم التوصيات التالية لكل من يستخدم LastPass شخصيًا أو في أعماله:

1. أبلغ المستخدمين بهذا الاختراق ووضح ما يلي:احسب طول كلمة مرورك اليوم. إذا استخدمت كلمة مرور رئيسية أقصر من ١٢ حرفًا، فعليك تغييرها اليوم."
2. إذا كانت كلمة مرورك الرئيسية تتكون من ١٢ حرفًا أو أكثر، فلا يزال بإمكانك اتباع النصائح التالية، ولكننا لا نعتقد أنها ضرورية تمامًا. يمكنك الانتقال إلى الخطوة ٣.٣ أدناه. أما إذا كانت كلمة مرورك أقصر، خاصةً إذا كانت مكونة من ٨ أو ٩ أحرف أو أقل، فانتقل إلى الخطوة ٣.
3. إذا كنت تقوم بتغيير كلمة المرور الرئيسية الخاصة بك بسبب التوصية رقم 1 أعلاه، فافعل ذلك أيضًا كل واحد مما يلي:
   1. 1. اجعل كلمة المرور الرئيسية الجديدة عبارة عن عبارة مرور من ١٤ إلى ٢٠ حرفًا! شاهد هذا فيديو كلمات المرور وعبارات المرور الخاصة بـ CyberHoot للحصول على نصائح مفيدة.
      2. قم بتغيير كلمات المرور لجميع حساباتك المهمة المخزنة في مخزن كلمات المرور الخاص بك[ملاحظة: نعم، نسمع استياءً جماعيًا من هذا الاقتراح. افعله على أي حال.] السبب هو أنه إذا كانت لديك كلمة مرور قصيرة قابلة للاختراق بالقوة الغاشمة، فقد تكون جميع كلمات مرورك معرضة للخطر. لديك فترة زمنية قصيرة قبل أن يتمكن مخترقو LastPass نظريًا من استهداف خزنتك واختراق حسابك بالقوة الغاشمة. لذلك، كإجراء احترازي، غيّر جميع كلمات مرور حساباتك المهمة لحمايتها من الاختراق.نصيحة CyberHoot: قم بتغيير كلمة مرور البريد الإلكتروني الخاص بك أولاً إذا لم تكن مرتبطة بالمصادقة متعددة العوامل (المعروفة أيضًا باسم: MFA).
      3. تمكين الوصول متعدد العوامل إلى مخزن كلمات المرور LastPass الخاص بك.  استخدم تطبيق مصادقة (ليس بالضرورة أن يكون LastPass Authenticator). تطبيقات المصادقة أكثر أمانًا من المصادقة متعددة العوامل عبر الرسائل النصية.ملاحظة CyberHootتفعيل المصادقة الثنائية لا يحمي الخزائن المسروقة في هذا الاختراق لـ LastPass. سيحاول اللصوص اختراق خزائن كلمات المرور باستخدام قوة (طول) كلمة المرور الرئيسية التي حددتها فقط.
4. هذه الخطوة تنطبق على الجميع. يُمكَِن مصادقة متعددة العوامل (MFA)، باستخدام تطبيق المصادقة، أو إذا كنت مهتمًا حقًا بالأمن، Yubikey رمز الجهاز، على جميع حساباتك الإلكترونية التي تدعم المصادقة الثنائية. هذا سيمنع حتى اختراق خزنة LastPass من التسبب في اختراق حساباتك المحمية بالمصادقة الثنائية. المصادقة الثنائية هي الحل الأمثل. قد يبدو الأمر مزعجًا أحيانًا، لكن الحقيقة أن ألم الاختراق أشد وطأة.  افعل هذا اليوم.

مدى جدوى استخدام LastPass من CyberHoot: س: هل تعتقد شركة CyberHoot أن LastPass حل قابل للتطبيق بالنظر إلى هذا الاختراق والاختراقات السابقة التي واجهتها؟

الجواب: لا يمكننا الإجابة على هذا السؤال نيابةً عنكم. بالنسبة لشركة Cyberhoot، سنستمر في استخدام LastPass لأننا نعتمد عليهم بشكل كامل في هذه المرحلة. كلمات مرورنا الرئيسية أطول بكثير من 12 حرفًا، مما يجعل سرقة خزنتنا من غير المرجح أن تُسفر عن أي شيء للمخترقين المعنيين. إضافةً إلى ذلك، وعلى الرغم من أن هذه الحادثة كانت مؤلمة لشركة LastPass، إلا أنها تُظهر التزامهم بالشفافية والأمان. كان من الممكن أن يكون من الأسهل عليهم إخفاء هذا الحادث بالتستر عليه، لكنهم لم يفعلوا. نحن نريد شركة شفافة، تعترف بأخطائها عند حدوثها، وتمتلك أنظمة مراقبة متطورة لرصد الأحداث الأمنية (كما فعلوا في هذه الحالة)، وتُبلغ عنها بصدق وشفافية. نختتم ببيان لطالما نُقلت عنه تصريحات مكتب التحقيقات الفيدرالي، لأنه ينطبق على جميع الشركات وجميع موردي برامج إدارة كلمات المرور.

" هناك نوعان من الشركات في هذا العالم. تلك التي تعلم أنها تعرضت للاختراق، وتلك التي لا تعلم أنها تعرضت للاختراق."

نعلم متى وكيف تم اختراق LastPass هنا. هل لدينا أي معلومات عن أي برامج أخرى لإدارة كلمات المرور تعرضت للاختراق؟

بكل شفافية: لم تجنِ شركة CyberHoot أي ربح من LastPass بأي شكل من الأشكال، سواءً من خلال برامج الإحالة أو غيرها. وربما خسرنا آلاف الدولارات من عمولات الإحالة حرصاً منا على الحفاظ على استقلاليتنا في تقاريرنا.

مصادر:

مقالة Naked Security بتاريخ 23 ديسمبر حول خرق LastPass

مدونة LastPass توضح الاختراق وردود أفعالهم

قم بتأمين عملك مع CyberHoot اليوم!!!

سجّل الآن