Hændelsen der ændrede cloudsikkerhed
Opdateret for 2026
2022-LastPass-bruddet handler ikke primært om adgangskodeadministratorer. Det handler om tillid. Virksomheder stolede på en cloudleverandør med deres data. Den tillid brød. Årsagen var skjulte fejl, ikke skødesløshed.
LastPass solgte et zero-knowledge-design. I praksis var det ikke zero-knowledge. 25 millioner brugere fik deres krypterede bokse stjålet. Angrebet blev første gang offentliggjort i august 2022. LastPass reviderede sine oplysninger flere gange. Det fulde omfang fremgik i slutningen af 2022.
For virksomheder inden for sundhedsvæsen, finans og jura var dette ikke en fjern nyhedshistorie. Disse sektorer står over for reelt ansvar, når data lækker. LastPass-sagen var et tidligt tegn på et bredere problem.
To svagheder der muliggjorde angrebet
Gennemgang efter hændelsen afslørede to centrale svagheder.
Svag nøgleopsætning. LastPass brugte PBKDF2 til nøgleafledning. Nyere konti havde 100.100 iterationer. OWASP anbefaler 600.000. Nogle gamle konti havde så få som 1 iteration. Færre iterationer gør brute-force-angreb hurtige og billige. Angribere med boks-filer kunne teste masterkodeord med høj hastighed.
Klartekstmetadata. Boksindhold var krypteret. Men metadata var det ikke. URL'er, brugernavne og tjenestenavne var alle synlige i de stjålne data. Angribere kunne se, hvilke tjenester hver bruger havde konti hos. Det muliggjorde målrettet phishing og legitimationsstopning. Ingen boksknækning var nødvendig.
Denne sag viser, hvorfor to spørgsmål skal stilles separat. "Er designet zero-knowledge?" er ét spørgsmål. "Er bygningen korrekt?" er et andet spørgsmål.
Okta i 2023: Et andet angreb, det samme resultat
I oktober 2023 rapporterede Okta en sikkerhedshændelse. Et stjålet legitimationsoplysning gav en angriber adgang til sit kundesupportsystem. Angrebet eksponerede 600.000+ supportposter. Disse inkluderede filer uploadet af kunder under supportsessioner.
Okta er en identitetssikkerhedsplatform. Problemet var ikke en designfejl. Det var et adgangskontrolsvigt. En supportmedarbejders login blev stjålet. Angriberen brugte det til at nå følsomme data.
LastPass og Okta viser de to hovedveje til et leverandørkompromis:
- Designsvigt — zero-knowledge-påstande, der ikke var bygget korrekt
- Adgangskontrolsvigt — gyldige legitimationsoplysninger brugt til at nå data, de ikke burde nå
Zero-knowledge-design forhindrer den første type. Det stopper ikke en angriber med gyldige supportlegitimationsoplysninger. Men det blokerer den angriber fra at læse kundedata. Leverandøren holder aldrig dekrypterbart indhold. Se vores sikkerhed og compliance-oversigt for, hvordan dette gælder for PII-værktøjer.
SaaS-sikkerhedshændelser steg 300 % på to år
Obsidian Security fandt en stigning på 300 % i SaaS-platformssikkerhedshændelser fra 2022 til 2024.
Dette er ikke en 300 %-stigning i angribernes dygtighed. To kræfter drev det. SaaS-brug voksede hurtigt. Angribere fulgte dataene. Ét leverandørkompromis kan eksponere data fra dusinvis af klienter på én gang. Det afkast favoriserer leverandørangreb over enkeltvirksomhedsangreb.
Virksomheder, der antog, at cloudplatforme var sikre, er nødt til at opdatere den opfattelse. SaaS-leverandører er nu primære mål.
Spørgsmål at stille enhver cloudleverandør
For indkøbs- og sikkerhedsteams dækker denne tjekliste kerneområderne.
Krypteringsopsætning:
- Spørg om nøgleafledningsalgoritmen, iterationsantallet og hukommelsesindstillingerne.
- Bekræft, at iterationsantal opfylder OWASP-minimumerne. Det er 600.000 PBKDF2-SHA256 eller tilsvarende Argon2id.
- Verificer, at nøgleafledning kører på din enhed, ikke på leverandørens servere.
Metadata-eksponering:
- Spørg, hvilke metadata der opbevares i klartekst ved siden af krypteret indhold.
- Anmod om en datamodel. Den bør vise, hvilke felter der er krypterede, og hvilke der er synlige i et angreb.
Supportadgang:
- Spørg, om supportmedarbejdere kan tilgå kundedata.
- Bekræft, at supportsystemer ikke kan nå kundens klartekst.
Hændelseshistorik:
- Spørg om alle tidligere sikkerhedshændelser, herunder dem under tærsklerne for offentlig oplysning.
- Vurder, hvor fuldstændige og ærlige tidligere oplysninger var.
LastPass-hændelsen var en bygningsfejl og en tillidsfejl. Leverandører med specifikke svar muliggør reel risikovurdering. Leverandører med vage påstande holder risiko skjult. Den risiko dukker ofte først op efter et angreb. Se vores compliance-oversigt for vejledning i leverandørevaluering.
anonym.legal bruger zero-knowledge-arkitektur til PII-anonymisering. Nøgleafledning kører via Argon2id i din browser eller desktop-app. Kryptering sker, inden data forlader din enhed. Servere opbevarer kun ciffertekst, de ikke kan dekryptere. Læs mere.