LastPass İhlali Güncellemesi – 22 Ağustos – 22 Aralık

27 Aralık 2022 | Danışma, Blog

LastPass 2022 İhlal Güncellemesi

26 Ocak Güncelleme 3:

CyberHoot, LastPass hakkında yeni bir makale hazırladı: "LastPass İçin Son Damla" başlığı altında, alternatif bir şifre yöneticisi seçme kriterlerini ayrı olarak ele aldı.

23 Aralık 2022 Güncelleme 2:

Naked Security, LastPass veri ihlali ve şifrelenmiş kasaların çalındığını itiraf etmeleriyle ilgili görüşlerini detaylandıran bir makale yayınladı. Makalede bazı faydalı yorumlar ve bilgiler yer alıyor. Bu durum CyberHoot'u daha fazla düşünmeye sevk etti…

Form doldurmayı kolaylaştırmak için kredi kartı bilgilerimizi LastPass'e kaydettik. Kredi kartlarımızı iptal edip yeniden mi çıkaracağız? Şahsen ben yapmayacağım. Ana şifrem o kadar uzun ve karmaşıktı ki, bu web sitesinin Şifre Güçlülüğü Ölçerine göre kırma çabası 7 katrilyon yıl sürdü, vay canına! Bu bir rahatlama.

23 Aralık 2022: CyberHoot LastPass İhlali Güncellemesi:

LastPass, 30 Kasım tarihli son güvenlik ihlali duyurusunda, Ağustos ayındaki güvenlik ihlaliyle bağlantılı yeni bir güvenlik ihlali tespit ettiklerini açıkladı. 22.12.2022 tarihli bu güncellemede, 256 bit AES şifreli istemci parola kasalarının üçüncü bir taraftan çalındığına inandıklarını kabul ettiler. Bu, istemci verilerinin risk altında olduğunu ilk kez kabul ettikleri anlamına geliyor. İşte durum hakkındaki görüşleri:

22 Aralık, LastPass Blog Güncellemesi:

Yukarıdaki varsayılan ayarları kullanırsanız, genel kullanıma açık parola kırma teknolojisini kullanarak ana parolanızı tahmin etmek milyonlarca yıl sürer. Kullanıcı adları ve parolalar, güvenli notlar, ekler ve form doldurma alanları gibi hassas kasa verileriniz, LastPass'ın Sıfır Bilgi mimarisine dayanarak güvenli bir şekilde şifrelenmiş olarak kalır. Şu anda yapmanız gereken herhangi bir önerilen işlem bulunmamaktadır.

Ancak, ana parolanız yukarıdaki varsayılanları kullanmıyorsa, doğru tahmin etmek için gereken deneme sayısını önemli ölçüde azaltacağını unutmamak önemlidir. Bu durumda, ek bir güvenlik önlemi olarak, kaydettiğiniz web sitelerinin parolalarını değiştirerek riski en aza indirmeyi düşünmelisiniz.

Peki bu, LastPass kullanıcıları veya LastPass'i kullanıcılarına dağıtan şirketler için ne anlama geliyor? Aslında çok fazla iş.

CyberHoot'un Etki Değerlendirmesi:

Ekibimiz şu gerçeği biliyor: Son on yılda denetlediğimiz birçok LastPass ortamında, eğitim videolarımıza ve en az 14 karakterli şifre gerektiren (LastPass varsayılanlarından 2 karakter daha uzun) şifre politikalarımıza rağmen, birçok zayıf ana şifre gördük . Bu nedenle, genel olarak güçlü şifre hijyeninin eksikliği göz önüne alındığında, LastPass'ten gelen bu yeni ihlal bilgisi, CyberHoot'un LastPass'i kişisel olarak veya işletmenizde kullanan herkese aşağıdaki önerilerde bulunmasını gerektiriyor:

Kullanıcılarınızı bu ihlal konusunda bilgilendirin ve şunu belirtin: “Bugünkü parolanızın uzunluğunu hesaplayın. 12 karakterden kısa bir Ana Parola kullandıysanız, Ana Parolanızı bugün değiştirmelisiniz."
12 karakter veya daha uzun bir ana parolanız varsa, aşağıdaki tavsiyeleri yine de uygulayabilirsiniz, ancak bunun %100 gerekli olacağını düşünmüyoruz. AŞAĞIDAKİ 3.3. ADIM'A GEÇEBİLİRSİNİZ. Ancak, parolanız daha kısaysa, özellikle 8 veya 9 karakterden oluşuyorsa veya daha kısaysa, 3. adıma geçin.
Yukarıdaki 1 numaralı öneri nedeniyle Ana Parolanızı değiştiriyorsanız, o zaman şunu da yapın: AŞAĞIDAKİLERİN HER BİRİ:
1. 1. Yeni Ana Parolayı 14 ila 20 karakter uzunluğunda bir parola ifadesi yapın! Şunu izleyin CyberHoot Parolaları ve Parola İfadesi videosu Yararlı ipuçları için.
  2. Şifre Kasanızda saklanan TÜM KRİTİK HESAPLARINIZIN Şifrelerini değiştirin[Not: Evet, bu öneriye karşı çıkanların hep birlikte homurdandığını duyuyoruz. Yine de yapın.] Bunun nedeni, kaba kuvvetle kırılabilecek kısa bir parolanız varsa, tüm parolalarınızın risk altında olabilmesidir. LastPass korsanlarının teorik olarak Kasanızı hedef alıp hesabınıza kaba kuvvetle saldırabilmesi için kısa bir zaman aralığınız var. Bu nedenle, aşırı dikkatli olmak ve tüm kritik hesap parolalarınızı değiştirerek bunların tehlikeye girmesini önleyin.CyberHoot İpucu: Çok faktörlü kimlik doğrulamasına (MFA) bağlı değilse, öncelikle E-posta Şifrenizi değiştirin.
  3. LastPass Parola Kasanıza Çok Faktörlü Erişimi Etkinleştirin. Bir Kimlik Doğrulayıcı UYGULAMASI kullanın (LastPass Kimlik Doğrulayıcı olmak zorunda değil). Kimlik Doğrulayıcı uygulamaları, Metin Mesajlaşması MFA'sından daha güvenlidir.CyberHoot Notu: Çok faktörlü kimlik doğrulamanın (MFA) etkinleştirilmesi, bu LastPass ihlalinde çalınan kasaları korumak için HİÇBİR ŞEY yapmaz. Hırsızlar, yalnızca belirlediğiniz ana parolanın gücüne (uzunluğuna) dayanarak parola kasalarını ele geçirmeye çalışacaklardır.]
Bu adım HERKES için geçerlidir. Olanak vermek Çok Faktörlü Kimlik Doğrulama (MFA), bir Kimlik Doğrulayıcı Uygulaması kullanarak veya gerçekten güvenlik konusunda titizseniz, Yubikey MFA'yı destekleyen tüm çevrimiçi hesaplarınızda donanım belirteci. Bu, ihlal edilmiş bir LastPass kasasının bile MFA korumalı hesaplarınızın tehlikeye girmesine yol açmasını engeller. MFA sizin dostunuzdur. Bazen can sıkıcı görünebilir, ancak gerçek şu ki, bir ihlalin acısı çok daha büyüktür. Bunu bugün yapın.

CyberHoot ve LastPass'in Uygunluğu: S: CyberHoot, bu güvenlik açığı ve daha önce karşılaştıkları güvenlik açıkları göz önüne alındığında, LastPass'in uygun bir çözüm olduğunu düşünüyor mu?

Cevap: Bu soruyu sizin için cevaplayamayız. Cyberhoot olarak, LastPass'e tamamen güvendiğimiz için onu kullanmaya devam edeceğiz. Ana şifrelerimiz 12 karakterden ÇOK DAHA UZUN olduğundan, kasamızın çalınması durumunda söz konusu bilgisayar korsanlarının herhangi bir şey elde etme olasılığı düşüktür. Ayrıca, bu olay LastPass için ne kadar acı verici olsa da, şeffaflık ve güvenliğe olan bağlılıklarını gösteriyor. Bu olayı örtbas etmek, halının altına süpürmek onlar için çok daha kolay olabilirdi. Bunu yapmadılar. Şeffaf bir şirket istiyoruz. Hatalarını kabul eden, güvenlik olaylarını yakalamak için gelişmiş izleme sistemlerine sahip (bu olayda olduğu gibi) ve dürüst ve açık bir şekilde rapor veren bir şirket istiyoruz. FBI'ın uzun zamandır alıntı yaptığı bir ifadeyle bitireceğiz çünkü bu ifade TÜM şirketler ve TÜM şifre yöneticisi yazılım satıcıları için geçerlidir.

“ Dünyada iki tür şirket vardır. Siber saldırıya uğradıklarını bilenler ve siber saldırıya uğradıklarını bilmeyenler.”

LastPass'ın ne zaman ve nasıl hacklendiğini biliyoruz. Başka şifre yöneticisi sağlayıcılarının da hacklendiğine dair bir bilgimiz var mı?

Tam şeffaflık: CyberHoot, LastPass'ten hiçbir şekilde, yönlendirme programı veya başka bir yolla tek kuruş kazanmamıştır. Haberciliğimizde tarafsız kalma isteğimiz nedeniyle muhtemelen binlerce dolarlık yönlendirme gelirini kaçırmışızdır.