CyberHoot udarbejdede et nyt LastPass-artikel: Den sidste dråbe for LastPass separat med kriterier for valg af en erstatningsadgangskodeadministrator.
Det har Naked Security denne artikel hvor de beskriver deres syn på LastPass-bruddet og indrømmer, at krypterede hvælvinger blev stjålet. De har nogle nyttige kommentarer og indsigter. Dette fik CyberHoot til at tænke lidt mere…
Vi gemte vores kreditkortoplysninger i LastPass for at gøre det nemmere at udfylde formularer. Vil vi annullere og genudstede vores kreditkort? Personligt vil jeg ikke. Min masteradgangskode var så lang og kompleks, at den nødvendige indsats i henhold til denne... webstedets adgangskodestyrkemåler var: 7 kvadrillioner år! Pyha! Det er en lettelse.
LastPass har offentliggjort nye oplysninger om deres seneste meddelelse om brud fra den 30. november, hvor deres overvågning identificerede et nyt brud (knyttet til deres brud i august). I denne opdatering fra den 12/22/2022 indrømmer de, at de mener, at 256-bit AES-krypterede klientadgangskodebokse blev stjålet fra tredjeparten. Dette er første gang, de har erkendt, at klientdata var i fare. Her er deres syn på situationen:
"Hvis du bruger standardindstillingerne ovenfor, ville det tage millioner af år at gætte din masteradgangskode ved hjælp af alment tilgængelig teknologi til adgangskodeknækkelse. Dine følsomme data i din hvælving, såsom brugernavne og adgangskoder, sikre noter, vedhæftede filer og formularfelter, forbliver sikkert krypteret baseret på LastPass' Zero Knowledge-arkitektur. Der er ingen anbefalede handlinger, du skal foretage dig på nuværende tidspunkt."
Det er dog vigtigt at bemærke, at hvis din masteradgangskode ikke bruger ovenstående standardindstillinger, vil det reducere antallet af forsøg, der er nødvendige for at gætte den korrekt, betydeligt. I dette tilfælde bør du som en ekstra sikkerhedsforanstaltning overveje at minimere risikoen ved at ændre adgangskoder på websteder, du har gemt.
Så hvad betyder det for alle jer LastPass-brugere derude, eller for virksomheder, der har implementeret LastPass hos deres brugere? Faktisk meget arbejde.
CyberHoots konsekvensanalyse:
Vores personale ved følgende: I mange af de LastPass-miljøer, vi har overvåget i løbet af det sidste årti, har vi, på trods af at vores træningsvideoer og adgangskodepolitikker kræver mindst 14 tegn lange adgangskoder (2 længere end LastPass-standarderne), set mange masteradgangskoder, der var SVAG. I betragtning af den generelle mangel på stærk adgangskodehygiejne generelt, kræver disse nye oplysninger om brud fra LastPass derfor, at CyberHoot kommer med følgende anbefalinger til alle, der bruger LastPass personligt eller i deres virksomhed:
CyberHoot LastPass-levedygtighed: Q: Mener CyberHoot, at LastPass er en brugbar løsning i betragtning af dette brud og tidligere brud, de har oplevet?
Svar: Vi kan ikke besvare det spørgsmål for dig. For Cyberhoot vil vi fortsætte med at bruge LastPass, da vi på nuværende tidspunkt har fuld myndighed til dem. Vores masteradgangskoder er LANGT LÆNGERE end 12 tegn, hvilket gør det usandsynligt, at vores tyveri af vores hvælving vil give noget til de pågældende hackere. Derudover, hvor smertefuldt denne episode end har været for LastPass, viser den deres engagement i gennemsigtighed og sikkerhed. Det ville potentielt have været langt nemmere for dem at skjule denne hændelse ved at feje den ind under gulvtæppet. Det gjorde de ikke. Vi ønsker en virksomhed, der er transparent. Indrømmer fejl, når de sker. Har avanceret overvågning på plads for at fange sikkerhedshændelser (som de gjorde i denne sag). Og rapporterer ærligt og åbent om det. Vi slutter af med en udtalelse, som FBI længe er blevet citeret for, fordi den gælder for ALLE virksomheder og ALLE leverandører af adgangskodehåndteringssoftware.
"Der findes to typer virksomheder i denne verden. Dem, der ved, at de er blevet hacket, og dem, der ikke ved, at de er blevet hacket.
Vi ved hvornår og hvordan LastPass blev hacket her. Ved vi noget om, at andre leverandører af adgangskodehåndtering er blevet hacket?
Fuld gennemsigtighed: CyberHoot har ikke tjent en eneste krone på LastPass, hverken via henvisningsprogram eller andet. Vi har sandsynligvis ladet tusindvis af dollars i henvisningsdollars ligge på bordet, fordi vi ønsker at forblive på afstand af vores rapportering.
Naked Security-artikel fra 23. december om LastPass-brud
LastPass-blog, der beskriver bruddet og deres reaktion
Opdag og del de seneste cybersikkerhedstrends, tips og bedste praksisser – sammen med nye trusler, du skal være opmærksom på.
En praktisk briefing til vCISO'er ADVARSELEN VI IGNOREREDE ELLER IKKE KUNNE FORSTÅ I årevis har den mest troværdige...
Læs mere
En guide til at opdage svindel med efterligning af ledende medarbejdere, før den falske administrerende direktør får en rigtig bankoverførsel. Det...
Læs mere
Kunstig intelligens (eller AI) gør phishing-e-mails smartere, malware mere lusket og tyveri af legitimationsoplysninger lettere...
Læs mereFå et skarpere blik på menneskelige risici med den positive tilgang, der slår traditionel phishing-testning.
