قام CyberHoot بصياغة مشروع جديد مقالة LastPass: القشة الأخيرة لـ LastPass بشكل منفصل مع معايير اختيار مدير كلمة المرور البديل.
Naked Security له هذا المقال يُفصّلون موقفهم من اختراق LastPass واعترافهم بسرقة خزائن مُشفّرة. لديهم بعض التعليقات والأفكار المفيدة. هذا دفع CyberHoot للتفكير أكثر...
لقد خزّننا معلومات بطاقة الائتمان الخاصة بنا في LastPass لتسهيل تعبئة النماذج. هل سنلغي بطاقات الائتمان ونعيد إصدارها؟ شخصيًا، لن أفعل. كانت كلمة مروري الرئيسية طويلة ومعقدة لدرجة أن كسرها يتطلب جهدًا كبيرًا. مقياس قوة كلمة المرور للموقع كان: ٧ كوادريليون سنة! يا له من ارتياح!
أصدرت شركة LastPass معلومات جديدة حول أحدث إعلان لها عن الاختراق في 30 نوفمبر، حيث رصدت عمليات الرصد اختراقًا جديدًا (مرتبطًا باختراق أغسطس). في هذا التحديث الصادر بتاريخ 12 ديسمبر 22، أقرّت الشركة باعتقادها أن خزائن كلمات مرور العملاء المشفرة بتقنية AES 2022 بت قد سُرقت من جهة خارجية. وهذه هي المرة الأولى التي تُقرّ فيها الشركة بتعرض بيانات عملائها للخطر. إليكم رأيها في هذا الموقف:
إذا استخدمت الإعدادات الافتراضية أعلاه، فسيستغرق الأمر ملايين السنين لتخمين كلمة مرورك الرئيسية باستخدام تقنية كسر كلمات المرور المتاحة للجميع. ستظل بياناتك الحساسة في الخزنة، مثل أسماء المستخدمين وكلمات المرور والملاحظات الآمنة والمرفقات وحقول تعبئة النماذج، مشفرة بشكل آمن استنادًا إلى بنية LastPass "المعرفة الصفرية". لا توجد إجراءات موصى بها عليك اتخاذها حاليًا.
مع ذلك، من المهم ملاحظة أنه إذا لم تستخدم كلمة مرورك الرئيسية الإعدادات الافتراضية المذكورة أعلاه، فسيؤدي ذلك إلى تقليل عدد المحاولات اللازمة لتخمينها بشكل كبير. في هذه الحالة، وكإجراء أمني إضافي، يُنصح بتقليل المخاطر بتغيير كلمات مرور مواقع الويب المُخزّنة لديك.
إذن، ماذا يعني هذا لجميع مستخدمي LastPass، أو للشركات التي وفّرت LastPass لمستخدميها؟ في الواقع، يتطلب الأمر جهدًا كبيرًا.
تقييم تأثير CyberHoot:
يعلم موظفونا ما يلي على أنه صحيح: في العديد من بيئات LastPass التي أشرفنا عليها على مدار العقد الماضي، وعلى الرغم من مقاطع الفيديو التدريبية وسياسات كلمة المرور الخاصة بنا التي تتطلب حدًا أدنى من كلمات المرور المكونة من 14 حرفًا (أطول بحرفين من كلمات المرور الافتراضية في LastPass)، فقد رأينا العديد من كلمات المرور الرئيسية التي كانت ضعيف. لذلك، ونظرًا للافتقار العام إلى نظافة كلمات المرور القوية بشكل عام، فإن معلومات الاختراق الجديدة هذه من LastPass تتطلب من CyberHoot تقديم التوصيات التالية لأي شخص يستخدم LastPass شخصيًا أو في عملك:
جدوى CyberHoot LastPass: Q: هل تعتقد CyberHoot أن LastPass هو الحل المناسب في ظل هذا الاختراق والاختراقات السابقة التي واجهتها؟
الإجابة: لا يمكننا الإجابة عن هذا السؤال نيابةً عنك. بالنسبة لـ Cyberhoot، سنستمر في استخدام LastPass لأننا نمتلك كامل حقوق الملكية فيها حاليًا. كلمات المرور الرئيسية لدينا أطول بكثير من ١٢ حرفًا، مما يجعل سرقة خزنتنا غير مُرجحة أن تُسفر عن أي شيء للمخترقين المعنيين. بالإضافة إلى ذلك، وعلى الرغم من مدى صعوبة هذه الحادثة بالنسبة لـ LastPass، إلا أنها تُظهر التزامهم بالشفافية والأمان. ربما كان من الأسهل عليهم إخفاء هذه الحادثة لو تم تجاهلها. لم يفعلوا ذلك. نريد شركةً شفافةً، تعترف بالأخطاء عند وقوعها، وتعتمد نظام مراقبة متقدمًا لرصد الثغرات الأمنية (كما فعلت في هذه الحالة)، وتُبلغ عنها بصدقٍ وانفتاح. سنختتم ببيانٍ لطالما نُسب إلى مكتب التحقيقات الفيدرالي (FBI) لأنه ينطبق على جميع الشركات وجميع مُورّدي برامج إدارة كلمات المرور.
"هناك نوعان من الشركات في هذا العالم: شركات تعلم أنها تعرضت للاختراق، وشركات لا تعلم.
نعلم متى وكيف تم اختراق LastPass هنا. هل لدينا أي معلومات عن أي برامج أخرى لإدارة كلمات المرور تعرضت للاختراق؟
الشفافية الكاملة: لم تربح CyberHoot سنتًا واحدًا من LastPass، سواءً من خلال برنامج الإحالة أو غيره. ربما أبقينا آلاف الدولارات من أموال الإحالة على الطاولة بسبب رغبتنا في البقاء بعيدًا عن أعيننا فيما يتعلق بتقاريرنا.
مقالة Naked Security بتاريخ 23 ديسمبر حول خرق LastPass
مدونة LastPass توضح الاختراق وردود أفعالهم
اكتشف وشارك أحدث اتجاهات الأمن السيبراني والنصائح وأفضل الممارسات - إلى جانب التهديدات الجديدة التي يجب الحذر منها.
موجز عملي لمديري أمن المعلومات الافتراضيين: التحذير الذي تجاهلناه أو لم نفهمه. لسنوات، كان الأكثر مصداقية...
اقراء المزيد
دليلٌ لكشف عمليات الاحتيال بانتحال شخصية كبار المسؤولين التنفيذيين قبل أن يتلقى الرئيس التنفيذي المزيف حوالةً ماليةً حقيقية.
اقراء المزيد
الذكاء الاصطناعي يجعل رسائل البريد الإلكتروني الاحتيالية أكثر ذكاءً، والبرامج الضارة أكثر دهاءً، وسرقة بيانات الاعتماد أسهل...
اقراء المزيداحصل على نظرة أكثر حدة للمخاطر البشرية، من خلال النهج الإيجابي الذي يتفوق على اختبار التصيد التقليدي.
