LastPass Breach Update – Agosto 22 – Disyembre 22

ika-27 ng Disyembre 2022 | Advisory, Blog

LastPass 2022 Breach Update

Ika-26 ng Ene Update 3:

Hiwalay na bumalangkas ang CyberHoot ng isang bagong artikulo sa LastPass: Last Straw para sa LastPass na may kasamang pamantayan para sa pagpili ng kapalit na password manager.

ika-23 ng Disyembre, 2022 Update 2:

May artikulong ito ang Naked Security na nagdedetalye ng kanilang pananaw sa paglabag sa LastPass at pag-amin na ninakaw ang mga naka-encrypt na vault. Mayroon silang ilang kapaki-pakinabang na komento at pananaw. Dahil dito, mas pinag-isipan pa ng CyberHoot...

Inimbak namin ang impormasyon ng aming Credit Card sa LastPass para sa madaling paggamit ng Form Filling. Kakanselahin ba namin at ibibigay muli ang aming mga credit card? Sa personal kong pagsasalita ngayon, hindi ko na gagawin. Napakahaba at kumplikado ng aking Master Password kaya ang kinakailangang pagsisikap sa pag-crack ayon sa Password Strength Meter ng website na ito ay: 7 quadrillion taon, grabe! Nakakagaan ng loob.

Disyembre 23, 2022: CyberHoot LastPass Breach Update:

Ang LastPass ay naglabas ng bagong impormasyon sa kanilang pinakabagong anunsyo ng paglabag mula Nob. 30 kung saan ang kanilang pagsubaybay ay natukoy ang isang bagong paglabag (nakatali sa kanilang paglabag sa Agosto). Sa update na ito mula 12/22/2022 inamin nila na naniniwala sila na ang 256 bit AES encrypted client password vaults ay ninakaw mula sa 3rd party. Ito ang unang pagkakataon na kinilala nila na nasa panganib ang data ng kliyente. Narito ang kanilang pananaw sa sitwasyon:

Disyembre 22, LastPass Blog Update:

"Kung gagamitin mo ang mga default na setting sa itaas, aabutin ng milyun-milyong taon bago mahulaan ang iyong master password gamit ang pangkalahatang-available na teknolohiya sa pag-crack ng password. Ang iyong sensitibong data ng vault, gaya ng mga username at password, secure na mga tala, attachment, at mga field ng form-fill, ay mananatiling ligtas na naka-encrypt batay sa arkitektura ng Zero Knowledge ng LastPass. Walang mga inirerekomendang aksyon na kailangan mong gawin sa ngayon.

Gayunpaman, mahalagang tandaan na kung ang iyong master password ay hindi gumagamit ng mga default sa itaas, ito ay makabuluhang bawasan ang bilang ng mga pagtatangka na kailangan upang hulaan ito nang tama. Sa kasong ito, bilang isang karagdagang hakbang sa seguridad, dapat mong isaalang-alang ang pagliit ng panganib sa pamamagitan ng pagpapalit ng mga password ng mga website na iyong naimbak.”

Kaya, ano ang ibig sabihin nito para sa lahat ng mga gumagamit ng LastPass doon, o para sa Mga Kumpanya na nag-deploy ng LastPass sa kanilang mga User? Ang daming trabaho actually.

Pagsusuri sa Epekto ng CyberHoot:

Alam ng mga kawani ng Out na totoo ang sumusunod: sa maraming kapaligiran ng LastPass na aming pinangasiwaan sa nakalipas na dekada, sa kabila ng aming mga video sa pagsasanay at mga patakaran sa password na nangangailangan ng minimum na 14 na karakter na password (2 mas mahaba kaysa sa mga default ng LastPass) nakakita kami ng maraming Master Password na MAHINA. Samakatuwid, dahil sa pangkalahatang kakulangan ng matibay na kalinisan ng password sa pangkalahatan, ang bagong impormasyon sa paglabag na ito mula sa LastPass ay nangangailangan ng CyberHoot na gawin ang mga sumusunod na rekomendasyon sa sinumang gumagamit ng LastPass nang personal o sa iyong negosyo:

Ipaalam sa iyong mga user ang paglabag na ito at sabihin ang sumusunod: “Bilangin ang haba ng iyong password ngayon. Kung gumamit ka ng Master Password na mas maikli sa 12 character ang haba, dapat mong baguhin ang iyong Master Password ngayon."
Kung mayroon kang master password na 12 character o higit pa, maaari mo pa ring sundin ang payo sa ibaba, ngunit sa palagay namin ay hindi ito 100% kinakailangan. Maaari kang LUMAKYAT SA HAKBANG 3.3 SA IBABA. Gayunpaman, kung ang iyong password ay mas maikli, lalo na ang mga 8 o 9 na character o mas maikli ang haba, magpatuloy sa hakbang 3.
Kung babaguhin mo ang iyong Master Password dahil sa rekomendasyon #1 sa itaas, gawin mo rin BAWAT ISA SA mga sumusunod:
1. 1. Gawing 14 hanggang 20 character ang haba ng pass na parirala ang bagong Master Password! Panoorin mo ito CyberHoot Password at Passphrase na video para sa mga kapaki-pakinabang na tip.
  2. Baguhin ang Mga Password sa LAHAT NG IYONG MGA KRITIKAL NA ACCOUNT na nakaimbak sa iyong Password Vault. [Tandaan: oo naririnig namin ang sama-samang daing sa mungkahing ito. Gawin mo pa rin.] Ang dahilan ay kung mayroon kang isang maikling password na maaaring brute forced, kung gayon ang lahat ng iyong mga password ay maaaring nasa panganib. Mayroon kang isang maikling palugit ng oras bago ang mga hacker ng LastPass ay maaaring theoretically i-target ang iyong Vault at malupit na puwersahin ang iyong account. Samakatuwid, sa labis na pag-iingat, baguhin ang lahat ng iyong kritikal na password ng account upang maprotektahan ang mga ito mula sa kompromiso. [Tip sa CyberHoot: Palitan mo muna ang iyong Email Password kung hindi mo ito nakatali sa multi-factor authentication aka: MFA).
  3. Paganahin ang Multi-Factor Access sa iyong LastPass Password Vault. Gumamit ng Authenticator APP (hindi kailangang LastPass Authenticator). Ang mga app ng Authenticator ay mas secure kaysa sa Text Messaging MFA. [CyberHoot Note: ang pag-enable ng MFA ay WALANG maprotektahan ang mga ninakaw na vault sa paglabag sa LastPass na ito. Susubukan ng mga magnanakaw na i-brute ang mga vault ng password dahil lang sa lakas (haba) ng master password na itinakda mo.]
Ang hakbang na ito ay para sa LAHAT. Paganahin Multi-factor Authentication (MFA), gamit ang Authenticator App, o kung talagang security hardcore ka, a Yubikey hardware token, sa lahat ng iyong online na account na sumusuporta sa MFA. Pipigilan nito ang kahit isang nalabag na LastPass vault na humantong sa kompromiso ng iyong mga account na protektado ng MFA. Kaibigan mo ang MFA. Maaaring mukhang masakit kung minsan, ngunit ang totoo, ang sakit ng isang kompromiso ay mas malala. Gawin ito ngayon.

Kakayahang Magamit ang CyberHoot LastPass: T: Sa tingin ba ng CyberHoot ay isang mabisang solusyon ang LastPass dahil sa paglabag na ito at mga nakaraang paglabag na kanilang kinaharap?

Sagot: Hindi namin masasagot ang tanong na iyan para sa iyo. Para sa Cyberhoot, patuloy naming gagamitin ang LastPass dahil ganap na nasa amin na ang mga ito sa puntong ito. Ang aming mga Master Password ay MAS MAHABA kaysa sa 12 character kaya ang aming pagnanakaw sa vault ay malamang na hindi magbunga ng anumang bagay sa mga hacker na pinag-uusapan dito. Bukod pa rito, kahit gaano kasakit ang episode na ito para sa LastPass, ipinapakita nito ang kanilang pangako sa transparency at seguridad. Mas madali sana para sa kanila na itago ang insidenteng ito sa pamamagitan ng paglilihim nito. Hindi nila ginawa. Gusto namin ng isang kumpanyang transparent. Inaamin ang mga pagkakamali kapag nangyari ang mga ito. May advanced monitoring na nakalagay upang mahuli ang mga kaganapan sa seguridad (tulad ng ginawa nila sa kasong ito). At iniuulat ito nang tapat at lantaran. Magtatapos kami sa isang pahayag na matagal nang sinipi ng FBI dahil naaangkop ito sa LAHAT ng mga kumpanya at LAHAT ng mga vendor ng password manager software.

" May dalawang uri ng kumpanya sa mundong ito. Iyong mga alam na sila ay na-hack, at iyong mga hindi alam na sila ay na-hack."

Alam namin kung kailan at paano na-hack ang LastPass dito. May alam ba kami tungkol sa anumang iba pang vendor ng tagapamahala ng password na na-hack?

Ganap na transparency: Hindi kumita ang CyberHoot kahit isang sentimo mula sa LastPass sa anumang kapasidad, referral program o iba pa. Malamang ay nag-iwan kami ng libo-libong dolyar na referral dahil sa aming pagnanais na manatiling bukas para sa aming mga ulat.