Incident, který změnil cloudovou bezpečnost
Aktualizováno pro rok 2026
Průnik LastPass z roku 2022 není primárně o správcích hesel. Je o důvěře. Firmy svěřily cloudovému dodavateli svá data. Tato důvěra se zlomila. Příčinou byly skryté chyby, nikoli lehkomyslnost.
LastPass prodával návrh s nulovou znalostí. V praxi nulová znalost nebyla. 25 milionům uživatelů byly odcizeny jejich šifrované trezory. Útok byl poprvé oznámen v srpnu 2022. LastPass svá zveřejnění několikrát revidoval. Plný rozsah se ukázal do konce roku 2022.
Pro firmy ve zdravotnictví, financích a právu to nebyl vzdálený příběh ze zpráv. Tyto sektory čelí reálné odpovědnosti při úniku dat. Případ LastPass byl raným signálem širšího problému.
Dvě slabiny, které útok umožnily
Přezkum po incidentu odhalil dvě klíčové slabiny.
Slabé nastavení klíčů. LastPass používal PBKDF2 pro derivaci klíčů. Novější účty měly 100 100 iterací. OWASP doporučuje 600 000. Některé starší účty měly pouhé 1 iteraci. Méně iterací dělá útoky hrubou silou rychlými a levnými. Útočníci s trezory mohli testovat hlavní hesla vysokou rychlostí.
Metadata v prostém textu. Obsah trezoru byl šifrován. Ale metadata šifrována nebyla. URL adresy, uživatelská jména a názvy služeb byly viditelné v odcizených datech. Útočníci mohli vidět, ke kterým službám má každý uživatel účty. To umožnilo cílené phishingové útoky a stuffing přihlašovacích údajů. Žádné prolomení trezoru nebylo potřeba.
Tento případ ukazuje, proč musí být dvě otázky kladeny zvlášť. „Je návrh s nulovou znalostí?” je jedna otázka. „Je implementace správná?” je jiná otázka.
Okta v roce 2023: Jiný útok, stejný výsledek
V říjnu 2023 Okta oznámila bezpečnostní incident. Odcizené přihlašovací údaje poskytly útočníkovi přístup k jejímu systému zákaznické podpory. Útok odhalil 600 000+ záznamů podpory. Ty zahrnovaly soubory nahrané zákazníky během relací podpory.
Okta je platforma pro zabezpečení identit. Problémem nebyla chyba návrhu. Bylo to selhání řízení přístupu. Přihlašovací údaje pracovníka podpory byly odcizeny. Útočník je použil k přístupu k citlivým datům.
LastPass a Okta ukazují dvě hlavní cesty ke kompromitaci dodavatele:
- Chyby návrhu — tvrzení o nulové znalosti, která nebyla správně implementována
- Selhání řízení přístupu — platné přihlašovací údaje použité k přístupu k datům, ke kterým by neměla dosáhnout
Návrh s nulovou znalostí zabraňuje prvnímu typu. Nezastaví útočníka s platnými přihlašovacími údaji podpory. Ale zablokuje ho před čtením zákaznických dat. Dodavatel nikdy nedrží dešifrovatelný obsah. Viz náš přehled bezpečnosti a shody, kde se dozvíte, jak to platí pro nástroje pro osobní údaje.
Bezpečnostní incidenty SaaS vzrostly za dva roky o 300 %
Obsidian Security zaznamenal nárůst o 300 % v bezpečnostních incidentech SaaS platforem od roku 2022 do roku 2024.
Toto není nárůst dovedností útočníků o 300 %. Pohánějí ho dvě síly. Využití SaaS rychle rostlo. Útočníci se vydali za daty. Jeden kompromitovaný dodavatel může najednou odhalit data od desítek klientů. Tato výnosnost upřednostňuje útoky na dodavatele před útoky na jednotlivé firmy.
Podniky, které předpokládaly, že cloudové platformy jsou bezpečné, musí tento pohled aktualizovat. Dodavatelé SaaS jsou nyní primárními cíli.
Otázky pro každého cloudového dodavatele
Pro nákupní a bezpečnostní týmy pokrývá tento kontrolní seznam základní oblasti.
Nastavení šifrování:
- Vyžádejte si algoritmus derivace klíčů, počet iterací a nastavení paměti.
- Potvrďte, že počty iterací splňují minimální hodnoty OWASP. To je 600 000 PBKDF2-SHA256 nebo ekvivalentní Argon2id.
- Ověřte, že derivace klíčů běží na vašem zařízení, nikoli na serverech dodavatele.
Expozice metadat:
- Zeptejte se, jaká metadata jsou uložena v prostém textu vedle šifrovaného obsahu.
- Vyžádejte si datový model. Měl by ukazovat, která pole jsou šifrována a která jsou viditelná při útoku.
Přístup podpory:
- Zeptejte se, zda pracovníci podpory mohou přistupovat k zákaznickým datům.
- Potvrďte, že systémy podpory nemohou dosáhnout zákaznického prostého textu.
Historie incidentů:
- Vyžádejte si všechny předchozí bezpečnostní incidenty, včetně těch pod prahem veřejného zveřejnění.
- Posuďte, jak úplná a upřímná byla předchozí zveřejnění.
Incident LastPass byl selháním implementace a selháním důvěry. Dodavatelé s konkrétními odpověďmi umožňují skutečný přezkum rizik. Dodavatelé s vágními tvrzeními nechávají riziko skryté. To riziko se často ukáže až po útoku. Viz náš přehled shody s předpisy pro pokyny k hodnocení dodavatelů.
anonym.legal používá architekturu s nulovou znalostí pro anonymizaci osobních údajů. Derivace klíčů probíhá přes Argon2id ve vašem prohlížeči nebo desktopové aplikaci. Šifrování probíhá před odesláním dat z vašeho zařízení. Servery ukládají pouze šifertext, který nemohou dešifrovat. Více informací.