L'Incident que va Transformar la Seguretat al Núvol
Actualitzat per al 2026
La bretxa de LastPass del 2022 no tracta principalment de gestors de contrasenyes. Tracta de confianca. Les firmes van confiar en un proveidor al núvol amb les seves dades. Aquella confianca es va trencar. La causa eren defectes ocults, no imprudencia.
LastPass venia un disseny de zero-knowledge. A la practica, no era zero-knowledge. 25 milions d'usuaris van tenir les seves caixes fortes xifrades robades. L'atac es va divulgar per primera vegada l'agost del 2022. LastPass va revisar les seves divulgacions diverses vegades. L'abast complet va emergir a finals del 2022.
Per a firmes en sanitat, finances i el sector legal, no era una noticia llunyana. Aquests sectors s'enfronten a responsabilitat real quan les dades es filtren. El cas de LastPass va ser un senyal primerenc d'un problema mes ampli.
Dos Defectes que van Possibilitar l'Atac
La revisio postincident va trobar dues debilitats clau.
Configuracio de claus feble. LastPass va usar PBKDF2 per a la derivacio de claus. Els comptes mes nous tenien 100.100 iteracions. OWASP en recomana 600.000. Alguns comptes antics tenien tan sols 1 iteracio. Menys iteracions fan els atacs de força bruta rapids i barats. Els atacants amb arxius de caixes fortes podien provar contrasenyes mestres a alta velocitat.
Metadades en text clar. El contingut de les caixes fortes estava xifrat. Pero les metadades no. Les URL, noms d'usuari i noms de serveis eren tots visibles en les dades robades. Els atacants podien veure a quins serveis tenia comptes cada usuari. Aixo va possibilitar el phishing dirigit i l'umpliment de credencials. No calia trencar cap caixa forta.
Aquest cas demostra per que cal fer dues preguntes per separat. "El disseny es zero-knowledge?" es una pregunta. "La construccio es correcta?" es una pregunta diferent.
Okta el 2023: Un Atac Diferent, el Mateix Resultat
L'octubre del 2023, Okta va informar d'un incident de seguretat. Una credencial robada va donar a un atacant acces al sistema d'assistencia al client. L'atac va exposar mes de 600.000 registres d'assistencia. Aquests incloïen arxius pujats pels clients durant les sessions d'assistencia.
Okta es una plataforma de seguretat d'identitat. El problema no va ser un defecte de disseny. Va ser una fallada de control d'acces. Es va robar l'inici de sessio d'un enginyer d'assistencia. L'atacant el va usar per accedir a dades sensibles.
LastPass i Okta mostren els dos camins principals cap a un compromes de proveidor:
- Fallades de disseny -- afirmacions de zero-knowledge que no van ser construides correctament
- Fallades de control d'acces -- credencials valides usades per accedir a dades que no haurien d'assolir
El disseny de zero-knowledge prevé el primer tipus. No atura un atacant amb credencials d'assistencia valides. Pero bloqueja aquell atacant perque no pugui llegir les dades del client. El proveidor mai no te contingut desxifrable. Vegeu la nostra visio general de seguretat i conformitat per veure com aixo s'aplica a les eines de PII.
Els Esdeveniments de Seguretat SaaS van Augmentar un 300% en Dos Anys
Obsidian Security va trobar un augment del 300% en els esdeveniments de seguretat de plataformes SaaS del 2022 al 2024.
No es un augment del 300% en les habilitats dels atacants. Dues forces ho van impulsar. L'us de SaaS va creixer rapidament. Els atacants van seguir les dades. Un compromes d'un proveidor pot exposar dades de desenes de clients alhora. Aquell guany afavoreix els atacs contra proveïdors en lloc d'atacs contra empreses individuals.
Les empreses que assumien que les plataformes al núvol eren segures han d'actualitzar aquesta visio. Els proveïdors SaaS son ara objectius principals.
Preguntes a Fer a Qualsevol Proveidor al Núvol
Per als equips de compres i seguretat, aquesta llista de verificacio cobreix les arees clau.
Configuracio de xifratge:
- Demaneu l'algorisme de derivacio de claus, el recompte d'iteracions i la configuracio de memoria.
- Confirmeu que els recomptes d'iteracions compleixen els minims d'OWASP. Aixo es 600.000 PBKDF2-SHA256 o Argon2id equivalent.
- Verifiqueu que la derivacio de claus s'executa al vostre dispositiu, no als servidors del proveidor.
Exposicio de metadades:
- Pregunteu quines metadades s'emmagatzemen en text clar al costat del contingut xifrat.
- Sol.liciteu un model de dades. Ha de mostrar quins camps estan xifrats i quins son visibles en un atac.
Acces d'assistencia:
- Pregunteu si el personal d'assistencia pot accedir a les dades del client.
- Confirmeu que els sistemes d'assistencia no poden accedir al text en clar del client.
Historial d'incidents:
- Demaneu tots els esdeveniments de seguretat anteriors, inclosos aquells per sota dels llindars de divulgacio publica.
- Avalueu la completesa i l'honesteda de les divulgacions anteriors.
L'incident de LastPass va ser una fallada de construccio i una fallada de confianca. Els proveïdors amb respostes especifiques permeten una revisio real del risc. Els proveïdors amb afirmacions vagues deixen el risc ocult. Aquell risc sovint surt a la llum nomes despres d'un atac. Vegeu la nostra visio general de conformitat per orientacio sobre l'avaluacio de proveïdors.
anonym.legal usa arquitectura de zero-knowledge per a l'anonimitzacio de PII. La derivacio de claus s'executa via Argon2id al vostre navegador o aplicacio d'escriptori. El xifratge es produeix abans que les dades surtin del vostre dispositiu. Els servidors emmagatzemen nomes text xifrat que no poden desxifrar. Mes informacio.