Die Voorval Wat Wolksekuriteit Verskuif Het
Opgedateer vir 2026
Die 2022 LastPass-inbreuk gaan nie hoofsaaklik oor wagwoordbestuurders nie. Dit gaan oor vertroue. Firmas het 'n wolkverskaffer met hul data vertrou. Daardie vertroue het gebreek. Die oorsaak was verborge gebreke, nie roekeloosheid nie.
LastPass het 'n nulkennis-ontwerp verkoop. In die praktyk was dit nie nulkennis nie. 25 miljoen gebruikers het hul geenkripseerde kluise gesteel. Die aanval is eerste bekend gemaak in Augustus 2022. LastPass het sy openbarings verskeie kere hersien. Die volle omvang het teen laat 2022 na vore gekom.
Vir firmas in gesondheidsorg, finansies en regs was dit nie 'n verre nuusstorie nie. Hierdie sektore staar werklike aanspreeklikheid as data lek. Die LastPass-saak was 'n vroee teken van 'n wyer probleem.
Twee Gebreke Wat die Aanval Moontlik Gemaak Het
Na-inbreuk hersiening het twee sleutelswakhede gevind.
Swak sleutelopstelling. LastPass het PBKDF2 gebruik vir sleutelafleiding. Nuwer rekeninge het 100 100 iterasies gehad. OWASP beveel 600 000 aan. Sommige ou rekeninge het so min as 1 iterasie gehad. Minder iterasies maak brute-krag-aanvalle vinnig en goedkoop. Aanvallers met kluisleers kon meesterwagwoorde teen hoe spoed toets.
Duidelike teks metadata. Kluisinhoud was geenkripseer. Maar metadata was nie. URL's, gebruikersname en diensnaam was almal sigbaar in die gesteelde data. Aanvallers kon sien watter dienste elke gebruiker rekeninge met gehad het. Dit het geteikende uitvissing en geloofsbriewe-opvul moontlik gemaak. Geen kluiskraak was nodig nie.
Hierdie saak wys waarom twee vrae afsonderlik gevra moet word. "Is die ontwerp nulkennis?" is een vraag. "Is die bouwerk korrek?" is 'n verskillende vraag.
Okta in 2023: 'n Verskillende Aanval, Dieselfde Resultaat
In Oktober 2023 het Okta 'n sekuriteitsvoorval gerapporteer. 'n Gesteelde geloofsbrief het 'n aanvaller toegang gegee tot sy klientsupportrtelsel. Die aanval het 600 000+ supportrekords blootgestel. Dit het leers ingesluit wat deur kliente tydens supportsessies opgelaai is.
Okta is 'n identiteitssekuriteitsplatform. Die kwessie was nie 'n ontwerpfout nie. Dit was 'n toegangsbeheerversuim. 'n Supportingenieur se aanmelding was gesteel. Die aanvaller het dit gebruik om sensitiewe data te bereik.
LastPass en Okta wys die twee hoofpaaie na 'n verskaffer-kompromis:
- Ontwerpfoute -- nulkennis-aansprake wat nie korrek gebou is nie
- Toegangsbeheerversuime -- geldige geloofsbriewe gebruik om data te bereik wat hulle nie moes bereik nie
Nulkennis-ontwerp verhoed die eerste tipe. Dit stop nie 'n aanvaller met geldige supportsgeloofsbriewe nie. Maar dit blokkeer daardie aanvaller om klientdata te lees. Die verskaffer hou nooit dekripteerbare inhoud nie. Sien ons sekuriteits- en nakomingsoorsig vir hoe dit op PII-gereedskap van toepassing is.
SaaS-Sekuriteitsgebeurtenisse Het 300% in Twee Jaar Gestyg
Obsidian Security het 'n 300% toename in SaaS-platformsekuriteitsgebeurtenisse van 2022 tot 2024 gevind.
Dit is nie 'n 300% styging in aanvallersvaardighede nie. Twee kragte het dit aangedryf. SaaS-gebruik het vinnig gegroei. Aanvallers het die data gevolg. Een verskafferkompromis kan data van tientalle kliente gelyktydig blootstel. Hierdie uitbetaling bevoordeel verskaffersaanvalle bo enkel-firma-aanvalle.
Ondernemings wat aangeneem het dat wolkplatforms veilig is, moet hierdie siening opdateer. SaaS-verskaffers is nou primere teikens.
Vrae om aan Enige Wolkverskaffer te Stel
Vir inkoop- en sekuriteitsgroepe dek hierdie kontrolelys die kerngebiede.
Enkripsie-opstelling:
- Vra vir die sleutelafleiding-algoritme, iterasietelling en geheueinstellings.
- Bevestig iterasietellings voldoen aan OWASP-minimums. Dit is 600 000 PBKDF2-SHA256 of ekwivalente Argon2id.
- Verifieer dat sleutelafleiding op jou toestel loop, nie op verskaffer-bedieners nie.
Metadata-blootstelling:
- Vra watter metadata in duidelike teks langs geenkripseerde inhoud gestoor word.
- Versoek 'n datamodel. Dit moet wys watter velde geenkripseer is en watter sigbaar is in 'n aanval.
Supporttoegang:
- Vra of supportpersoneel klientdata kan bereik.
- Bevestig dat supportstelsels klient-duidelike teks nie kan bereik nie.
Voorvalsgeskiedenis:
- Vra vir alle vorige sekuriteitsgebeurtenisse, insluitend die onder openbare openbaringsdrempels.
- Evalueer hoe volledig en eerlik vorige openbarings was.
Die LastPass-voorval was 'n bou-versuim en 'n vertroueversuim. Verskaffers met spesifieke antwoorde laat werklike risikohersiening toe. Verskaffers met vae aansprake laat risiko verborge. Daardie risiko kom dikwels eers na 'n aanval na vore. Sien ons nakomingsoorsig vir verskaffer-evaluasie leiding.
anonym.legal gebruik nulkennis-argitektuur vir PII-anonimisering. Sleutelafleiding loop via Argon2id in jou blaaier of lessenaar-toepassing. Enkripsie gebeur voordat data jou toestel verlaat. Bedieners stoor slegs geenkripsieteks wat hulle nie kan dekripteer nie. Leer meer.