LastPass, l'un des principaux gestionnaires de mots de passe, a déclaré que des pirates ont obtenu une multitude d'informations personnelles appartenant à ses clients ainsi que des mots de passe chiffrés et cryptographiquement hachés en plus d'autres données stockées dans les coffres-forts des clients.La révélation, publiée jeudi, représente une mise à jour spectaculaire d'une brèche que LastPass a révélée en août. À l'époque, la société a déclaré qu'un acteur malveillant avait obtenu un accès non autorisé via un seul compte de développeur et l'ont utilisé pour accéder à des données exclusive. L'éditeur a reconnu que le(s) cybercriminel(s) « avait pris des parties du code source et certaines informations techniques propriétaires de LastPass ». La société a déclaré à l'époque que les mots de passe principaux des clients, les mots de passe chiffrés, les informations personnelles et les autres données stockées dans les comptes clients n'étaient pas affectés.
Données sensibles, chiffrées ou non, copiées
Dans la mise à jour de jeudi, la société a déclaré que les pirates avaient accédé aux informations personnelles et aux métadonnées associées, notamment les noms de société, les noms d'utilisateur final, les adresses de facturation, les adresses e-mail, les numéros de téléphone et les adresses IP utilisées par les clients pour accéder aux services LastPass. Les pirates ont également copié une sauvegarde des données du coffre-fort client qui comprenait des données non chiffrées telles que des URL de sites Web et des champs de données chiffrés tels que des noms d'utilisateur et des mots de passe de sites Web, des notes sécurisées et des données remplies de formulaires.
« Ces champs chiffrés restent sécurisés avec un chiffrement AES 256 bits et ne peuvent être déchiffrés qu'avec une clé unique de déchiffrement dérivée du mot de passe principal de chaque utilisateur à l'aide de notre architecture Zero Knowledge », a expliqué le PDG de LastPass, Karim Toubba, faisant référence à Advanced Encryption Scheme. Zero Knowledge fait référence à des systèmes de stockage impossibles à déchiffrer pour le fournisseur de services. Le PDG a poursuivi :
Envoyé par PDG LastPassPour rappel, le mot de passe principal n'est jamais connu de LastPass et n'est ni stocké ni conservé par LastPass. Le chiffrement et le déchiffrement des données sont effectués uniquement sur le client LastPass local. Pour plus d'informations sur notre architecture Zero Knowledge et nos algorithmes de chiffrement, veuillez cliquer ici.
L'intrusion révélée en août qui a permis aux pirates de voler le code source de LastPass et des informations techniques propriétaires semble liée à une violation distincte de Twilio, un fournisseur de services d'authentification et de communication à deux facteurs basé à San Francisco. Le cybercriminel derrière cette violation a volé les données de 163 des clients de Twilio. Les mêmes hameçonneurs qui ont frappé Twilio ont également violé au moins 136 autres entreprises, dont LastPass.
La mise à jour de jeudi a indiqué que les cybercriminels pourraient utiliser le code source et les informations techniques volés à LastPass pour pirater un employé distinct de LastPass et obtenir des informations d'identification et des clés de sécurité pour accéder et déchiffrer les volumes de stockage au sein du service de stockage basé sur le cloud de l'entreprise.
Renforcez votre sécurité maintenant
La mise à jour de jeudi a également répertorié plusieurs solutions que LastPass a prises pour renforcer sa sécurité après la violation. Les étapes comprennent la mise hors service de l'environnement de développement piraté et sa reconstruction à partir de zéro, la conservation d'un service géré de détection et de réponse des terminaux et la rotation de toutes les informations d'identification et certificats pertinents susceptibles d'avoir été affectés.
Compte tenu de la sensibilité des données stockées par LastPass, il est alarmant qu'un si large éventail de données personnelles ait été obtenu. Alors que déchiffrer les hachages de mot de passe nécessiterait des quantités massives de ressources, ce n'est pas hors de propos, en particulier compte tenu de la méthode et de l'ingéniosité des cybercriminels.
Les clients LastPass doivent s'assurer qu'ils ont changé leur mot de passe principal et tous les mots de passe stockés dans leur coffre-fort. Ils doivent également s'assurer qu'ils utilisent des paramètres qui dépassent la valeur par défaut de LastPass. Ces paramètres hachent les mots de passe stockés à l'aide des itérations 100100 de la fonction de dérivation de clé basée sur le mot de passe (PBKDF2), un schéma de hachage qui peut rendre impossible le déchiffrage de mots de passe principaux longs, uniques et générés de manière aléatoire Les itérations 100100 sont terriblement en deçà du seuil de 310 000 itérations recommandé par l'OWASP pour PBKDF2 en combinaison avec l'algorithme de hachage SHA256 utilisé par LastPass. Les clients LastPass peuvent vérifier le nombre actuel d'itérations PBKDF2 pour leurs comptes ici.
Les clients de LastPass doivent également être très attentifs aux e-mails et appels téléphoniques de phishing prétendument de LastPass ou d'autres services à la recherche de données sensibles et d'autres escroqueries qui exploitent leurs données personnelles compromises. La société propose également des conseils spécifiques aux clients professionnels qui ont mis en œuvre les services de connexion fédérée LastPass.
Le communiqué de LastPass sur le sujet
À notre communauté LastPass,
Nous vous avons récemment informé qu'une partie non autorisée avait eu accès à un service de stockage cloud tiers, que LastPass utilise pour stocker des sauvegardes archivées de nos données de production. Conformément à notre engagement envers la transparence, nous souhaitons vous fournir une mise à jour concernant notre enquête en cours.
Ce que nous avons appris
Sur la base de notre enquête à ce jour, nous avons appris qu'un acteur malveillant inconnu a accédé à un environnement de stockage basé sur le cloud en exploitant les informations obtenues à partir de l'incident que nous avons précédemment divulgué en août 2022. Bien qu'aucune donnée client n'ait été consultée lors de l'incident d'août 2022, une source du code et des informations techniques ont été volés dans notre environnement de développement et utilisés pour cibler un autre employé, obtenant des informations d'identification et des clés qui ont été utilisées pour accéder et déchiffrer certains volumes de stockage dans le service de stockage basé sur le cloud.
Les services de production LastPass fonctionnent actuellement à partir de centres de données sur site avec un stockage basé sur le cloud utilisé à diverses fins telles que le stockage des sauvegardes et les exigences régionales en matière de résidence des données. Le service de stockage sur le cloud auquel a accédé l'auteur de la menace est physiquement séparé de notre environnement de production.
À ce jour, nous avons déterminé qu'une fois la clé d'accès au stockage sur le cloud et les clés de déchiffrement du double conteneur de stockage obtenues, l'auteur de la menace a copié des informations à partir de la sauvegarde contenant des informations de base sur le compte client et les métadonnées associées, notamment les noms de société, les noms d'utilisateur final, les adresses de facturation, adresses e-mail, numéros de téléphone et adresses IP à partir desquelles les clients accédaient au service LastPass.
L'auteur de la menace a également pu copier une sauvegarde des données du coffre-fort client à partir du conteneur de stockage chiffré qui est stocké dans un format binaire propriétaire qui contient à la fois des données non chiffrées, telles que les URL de sites Web, ainsi que des champs sensibles entièrement chiffrés tels que les noms d'utilisateur de sites Web. et mots de passe, notes sécurisées et données remplies par formulaire. Ces champs chiffrés restent sécurisés avec un chiffrement AES 256 bits et ne peuvent être déchiffrés qu'avec une clé unique de déchiffrement dérivée du mot de passe principal de chaque utilisateur à l'aide de notre architecture Zero Knowledge. Pour rappel, le mot de passe principal n'est jamais connu de LastPass et n'est ni stocké ni conservé par LastPass. Le chiffrement et le déchiffrement des données sont effectués uniquement sur le client LastPass local.
Il n'y a aucune preuve que des données de carte de crédit non chiffrées aient été consultées. LastPass ne stocke pas les numéros de carte de crédit complets et les informations de carte de crédit ne sont pas archivées dans cet environnement de stockage sur le cloud.
Qu'est-ce que cela signifie? Mes données sont-elles en danger ?
L'auteur de la menace peut tenter d'utiliser la force brute pour deviner votre mot de passe principal et déchiffrer les copies des données du coffre-fort qu'il a prises. En raison des méthodes de hachage et de chiffrement que nous utilisons pour protéger nos clients, il serait extrêmement difficile de tenter de deviner par force brute des mots de passe principaux pour les clients qui suivent nos meilleures pratiques en matière de mot de passe. Nous testons régulièrement les dernières technologies de craquage de mots de passe par rapport à nos algorithmes pour suivre et améliorer nos contrôles cryptographiques.
L'auteur de la menace peut également cibler les clients avec des attaques de phishing, de credential stuffing ou d'autres attaques par force brute contre les comptes en ligne associés à votre coffre-fort LastPass. Afin de vous protéger contre les attaques d'ingénierie sociale ou de phishing, il est important de savoir que LastPass ne vous appellera, n'enverra jamais d'e-mail ou de SMS pour vous demander de cliquer sur un lien pour vérifier vos informations personnelles. Sauf lors de la connexion à votre coffre-fort à partir d'un client LastPass, LastPass ne vous demandera jamais votre mot de passe principal.
Que doivent faire les clients LastPass ?
Pour rappel, les paramètres de mot de passe principal par défaut de LastPass et les meilleures pratiques incluent les éléments suivants :
[LIST][*]Depuis 2018, nous exigeons un minimum de douze caractères pour les mots de passe principaux. Cela minimise considérablement la possibilité de[/*]...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
