Пропастта между твърдението и архитектурата
Всеки облачен доставчик, който обработва чувствителни данни, прави някаква версия на едно и също твърдение: „Ние криптираме вашите данни“. Твърдението почти винаги е вярно - и почти винаги недостатъчно.
Нарушението на LastPass от 2022 г. е окончателният казус. LastPass шифроваха хранилищата за пароли на своите потребители. Те използваха криптиране. Твърдението беше точно. И въпреки това 25 милиона потребители са били ексфилтрирани с техните криптирани трезори и $438 милиона впоследствие са били откраднати от потребители на LastPass при кражби на криптовалута надолу по веригата до 2025 г., според изследване на Coinbase Institutional.
Службата на комисаря по информацията на Обединеното кралство глоби юридическото лице на LastPass в Обединеното кралство с £1,2 милиона през декември 2025 г. за „неприлагане на подходящи технически и организационни мерки за сигурност“. Криптирането съществуваше. Мерките за сигурност не отговарят на необходимия стандарт.
За предприятия, оценяващи инструменти за поверителност в облака — включително платформи за анонимизиране на PII — прецедентът LastPass променя въпроса за обществената поръчка. Въпросът не е "криптират ли нашите данни?" Това е "могат ли да дешифрират нашите данни?"
Четирите въпроса с нулево знание, които всъщност имат значение
Когато оценявате твърдението за нулево знание на доставчика, четири въпроса определят дали архитектурата е истинска:
1. Къде се извършва извличането на ключ?
В истинската архитектура с нулево знание извличането на ключ за криптиране се случва от страна на клиента — в браузъра или настолното приложение — преди да бъдат предадени каквито и да е данни. Извлеченият ключ се използва за локално криптиране на данни. Само шифрован шифрован текст пътува до сървърите на доставчика.
Ако доставчикът извлече ключове за криптиране на своите сървъри, той държи ключовете. Ако държат ключовете, те могат да дешифрират. Твърдението е технически точно („ние криптираме“), но е подвеждащо в смисъла си.
2. Доставчикът има ли някога достъп до обикновения текст?
Някои инструменти шифроват данни в покой, но ги декриптират за обработка – стартиране на AI модели, анализи, индексиране на търсене или генериране на журнал за одит. По време на прозореца за обработка обикновеният текст е достъпен в инфраструктурата на доставчика. Пробив по време на този прозорец разкрива данните в некриптирана форма.
3. Какво се случва при съдебния процес?
Ако държавна агенция връчи призовка на продавача, какви данни може да предостави? Доставчик с ключове от страна на сървъра може да бъде принуден да произведе декриптирано съдържание. Доставчик с архитектура с нулево знание може да произведе само криптиран шифрован текст - дори и при законова принуда, той няма нищо полезно за предаване.
4. Какво разкрива пълен компромет със сървър?
При истинско внедряване с нулево знание, пълен пробив в инфраструктурата на доставчика дава само криптирани петна. Нападателят получава шифрован текст без ключовете за дешифрирането му. При внедряване на контролиран от доставчика ключ пробив в сървъра разкрива ключовете заедно с данните.
Неуспех при внедряването на LastPass
Пробивът в LastPass разкри специфичен пропуск в изпълнението: по-старите акаунти използваха PBKDF2 само с 1 итерация за извличане на ключ, вместо препоръчаните 600 000 итерации. По-слабото извличане на ключ направи атаките с груба сила върху ексфилтрираните трезори изчислително осъществими.
Това илюстрира защо оценяването на твърдения с нулево знание изисква изследване на подробностите за изпълнението, а не само архитектурни описания. Доставчикът може да използва дизайн с нулево знание, докато го прилага слабо. Правилните въпроси, които трябва да зададете, обхващат както архитектурата (локация за извличане на ключ), така и силата на изпълнението (алгоритъм и брой итерации).
Пробивът на Okta: различен режим на повреда
През октомври 2023 г. Okta разкри, че 600 000+ записа за поддръжка на клиенти са изтекли при нарушение. Okta е платформа за идентичност — компанията, която много предприятия използват, за да осигурят достъп до другите си облачни инструменти. Пробивът в Okta беше различен режим на повреда от LastPass: не слабост в внедряването с нулево знание, а компромис на инфраструктурата за поддръжка, която случайно съдържа клиентски данни.
Увеличението на нарушенията на SaaS от 300% през 2024 г. (AppOmni/CSA) отразява и двата режима на отказ: архитектурни слабости като LastPass и инфраструктурни компромиси като Okta. Архитектурата с нулево знание адресира режима на архитектурен отказ. Това не елиминира целия риск от пробив, но гарантира, че дори пълен компромет на инфраструктурата не излага на показ нито една дешифрируема клиентска информация.
Как изглежда истинската оценка
За екипи за възлагане на обществени поръчки, оценяващи твърдения с нулево знание, контролният списък за оценка:
Преглед на архитектурата:
- Поискайте документация, показваща къде се случва извличането на ключове (от страна на клиента срещу страна на сървъра)
- Поискайте алгоритъма за криптиране, дължината на ключа и броя на итерациите
- Поискайте потвърждение, че обикновеният текст никога не се предава на сървърите на доставчика
Тестване на сценарий за пробив:
- Помолете доставчика да опише какво би изложил пълен компромис на сървъра – Ако отговорът включва нещо различно от „криптиран шифрован текст, който не можем да дешифрираме“, твърдението не е истинско нулево знание
Преглед на правния процес:
- Попитайте дали продавачът може да се съобрази с призовка, изискваща представяне на клиентски обикновен текст
- Истинските доставчици с нулево знание не могат да произвеждат това, което нямат
Документация за съответствие:
- Изискайте документацията за съответствие на GDPR член 32 от доставчика
- Сертифициране по ISO 27001 (по-специално криптографски контрол от Анекс А) осигурява външна проверка на практиките за управление на ключове
Глобата от £1,2 милиона LastPass ICO установява, че доставчиците, които правят претенции за криптиране, подлежат на регулаторна оценка дали тези претенции отговарят на необходимия стандарт. Същата рамка за оценка, която регулаторите прилагат, е достъпна за екипите за възлагане на обществени поръчки, преди да възникне нарушение.
Източници:
- [LastPass анализ на пробиви и проследяване на криптовалути надолу по веригата] (https://www.upguard.com/blog/lastpass-vulnerability-and-future-of-password-security)
- [ICO принудително действие срещу LastPass Обединеното кралство, декември 2025 г.] (https://www.itpro.com/security/data-breaches/lastpass-hit-with-ico-fine-after-2022-data-breach-exposed-1-6-million-users-heres-how-the-incident-unfolded)
- [ZachXBT / Cybernews: Крипто кражби, проследени до пробив в LastPass, 2023] (https://cybernews.com/crypto/crypto-heist-lastpass-blamed/)