Обновление LastPass Breach – 22 августа – 22 декабря

Обновление 26 от 3 января:

Компания CyberHoot подготовила отдельную статью о LastPass под названием «Последняя капля для LastPass», в которой изложены критерии выбора альтернативного менеджера паролей.

23 декабря 2022 г. Обновление 2:

В статье Naked Security подробно изложена их точка зрения на взлом LastPass и признание того, что зашифрованные хранилища были украдены. Они приводят полезные комментарии и выводы. Это заставило CyberHoot задуматься…

Мы хранили данные своих кредитных карт в LastPass для удобства заполнения форм. Будем ли мы аннулировать и перевыпускать наши кредитные карты? Лично я этого делать не буду. Мой мастер-пароль был настолько длинным и сложным, что, согласно индикатору надежности паролей на этом сайте, для его взлома потребовалось 7 квадриллионов лет! Вот это облегчение!

23 декабря 2022 г.: Обновление по уязвимости CyberHoot LastPass:

LastPass опубликовала новую информацию о своём последнем объявлении об утечке данных от 30 ноября, в котором говорится, что их мониторинг выявил новую утечку (связанную с августовской утечкой). В этом обновлении от 12 декабря 22 года компания признаёт, что, по её мнению, хранилища клиентских паролей, зашифрованные 2022-битным AES-шифрованием, были украдены у третьей стороны. Это первый случай, когда компания признала, что данные клиентов подверглись риску. Вот их мнение о ситуации:

22 декабря, обновление блога LastPass:  

Если вы используете настройки по умолчанию, указанные выше, то на подбор вашего главного пароля с помощью общедоступных технологий взлома паролей уйдут миллионы лет. Ваши конфиденциальные данные в хранилище, такие как имена пользователей и пароли, защищённые заметки, вложения и поля форм, остаются надёжно зашифрованными благодаря архитектуре LastPass Zero Knowledge. На данный момент нет рекомендаций по каким-либо действиям.

Однако важно отметить, что если ваш мастер-пароль не использует указанные выше значения по умолчанию, то это значительно сократит количество попыток, необходимых для его правильного подбора. В этом случае в качестве дополнительной меры безопасности вам следует рассмотреть возможность минимизации риска, изменив пароли к сохранённым вами веб-сайтам.

Итак, что это означает для всех вас, пользователей LastPass, и для компаний, которые внедрили LastPass для своих пользователей? На самом деле, предстоит много работы.

Оценка воздействия CyberHoot:

Наши сотрудники знают следующее: во многих средах LastPass, которые мы контролировали в течение последнего десятилетия, несмотря на наши обучающие видеоролики и политику паролей, требующую паролей длиной не менее 14 символов (на 2 символа длиннее, чем пароли по умолчанию в LastPass), мы обнаружили множество слабых мастер-паролей. Поэтому, учитывая общее отсутствие надёжной гигиены паролей, эта новая информация о взломе LastPass обязывает CyberHoot дать следующие рекомендации всем, кто использует LastPass лично или в своей компании:

1. Сообщите своим пользователям об этом нарушении и заявляют следующее: «Подсчитайте длину своего пароля сегодня. Если вы использовали мастер-пароль короче 12 символов, вам необходимо сменить его сегодня.
2. Если ваш мастер-пароль состоит из 12 или более символов, вы всё равно можете следовать приведенным ниже советам, но мы не считаем это абсолютно необходимым. Вы можете ПЕРЕЙТИ К ШАГУ 100 НИЖЕ. Однако, если ваш пароль короче, особенно если он состоит из 3.3 или 8 символов, переходите к шагу 9.
3. Если вы меняете свой главный пароль в соответствии с рекомендацией №1 выше, то также сделайте следующее: КАЖДЫЙ ИЗ СЛЕДУЮЩИХ:
   1. 1. Создайте новый мастер-пароль длиной от 14 до 20 символов! Смотрите! Видеоролик «Пароли и пароль CyberHoot» за полезные советы.
      2. Измените пароли на ВСЕХ ВАШИХ ВАЖНЫХ УЧЕТНЫХ ЗАПИСЯХ, хранящихся в вашем хранилище паролей.[Примечание: да, мы слышим всеобщее недовольство этим предложением. Всё равно сделайте это.] Причина в том, что если у вас короткий пароль, который можно взломать методом подбора, то все ваши пароли могут оказаться под угрозой. У вас есть лишь короткое время, прежде чем хакеры LastPass теоретически смогут взломать ваше Хранилище и взломать вашу учётную запись методом подбора. Поэтому, в целях особой осторожности, измените все пароли к своим критически важным учётным записям, чтобы защитить их от взлома. [Совет CyberHoot: Сначала измените пароль своей электронной почты, если он не привязан к многофакторной аутентификации (MFA).
      3. Включите многофакторный доступ к вашему хранилищу паролей LastPass.  Используйте приложение-аутентификатор (не обязательно LastPass Authenticator). Приложения-аутентификаторы более безопасны, чем многофакторная аутентификация в текстовых сообщениях.Примечание CyberHoot[: включение MFA НИКАК не защищает украденные хранилища в этой утечке LastPass. Воры будут пытаться взломать хранилища паролей, основываясь исключительно на надёжности (длине) установленного вами мастер-пароля.]
4. Этот шаг касается ВСЕХ. Давать возможность Многофакторная аутентификация (MFA), используя приложение-аутентификатор, или, если вы действительно хардкорный специалист по безопасности, Yubikey Аппаратный токен на всех ваших онлайн-аккаунтах, поддерживающих MFA. Это предотвратит взлом ваших аккаунтов, защищённых MFA, даже при взломе хранилища LastPass. MFA — ваш друг. Иногда это может показаться неприятным, но, по правде говоря, последствия взлома гораздо хуже.  Сделайте это сегодня.

Оценка целесообразности использования LastPass компанией CyberHoot: Вопрос: Считает ли компания CyberHoot, что LastPass является жизнеспособным решением, учитывая это нарушение безопасности и предыдущие инциденты, с которыми они сталкивались?

Ответ: Мы не можем ответить на этот вопрос за вас. Что касается Cyberhoot, мы продолжим использовать LastPass, поскольку на данный момент мы полностью зависим от них. Наши мастер-пароли НАМНОГО длиннее 12 символов, поэтому кража из нашего хранилища вряд ли принесет что-либо хакерам, о которых идет речь. Кроме того, как бы ни был болезненным этот эпизод для LastPass, он демонстрирует их приверженность прозрачности и безопасности. Им было бы гораздо проще скрыть этот инцидент, замянув дело. Но они этого не сделали. Нам нужна компания, которая прозрачна. Признает ошибки, когда они происходят. Внедряет передовые системы мониторинга для обнаружения событий безопасности (как это было в данном случае). И честно и открыто сообщает о них. В заключение мы приведем высказывание, которое давно цитируют в ФБР, потому что оно относится ко ВСЕМ компаниям и ВСЕМ поставщикам программного обеспечения для управления паролями.

« В мире существуют два типа компаний: те, которые знают, что их взломали, и те, которые не знают, что их взломали».

Мы знаем, когда и как LastPass был взломан. Известно ли нам что-нибудь о взломах других производителей менеджеров паролей?

Полная прозрачность: компания CyberHoot не получила ни цента от LastPass ни в каком виде, ни в рамках реферальной программы, ни каким-либо иным образом. Вероятно, мы упустили тысячи долларов от реферальных программ, поскольку стремимся оставаться в стороне от процесса составления отчетов.

источники:

Статья Naked Security от 23 декабря о взломе LastPass

Блог LastPass с описанием взлома и их реакции

Защитите свой бизнес с CyberHoot сегодня!!!

Подписаться