Hodei Segurtasuna Aldatu Zuen Gertakaria
2026rako eguneratua
2022ko LastPass haustura batez ere ez da pasahitz kudetzaileei buruzkoa. Fidantziari buruz da. Etxeek beren datuekin hodei hornitzaile bati fidatu zioten. Fidantzia hori hautsi zen. Arrazoia ezkutuko akatsak ziren, ez zentzugabekeria.
LastPass-ek zero-knowledge diseinua saldu zuen. Praktikan, ez zen zero-knowledge. 25 milioi erabiltzailek beren ganga-salak enkriptatuta lapurtu zizkieten. Erasoa lehen aldiz 2022ko abuztuan jakinarazi zen. LastPass-ek bere zabalpenak hainbat aldiz berritu zituen. Osoko esparrua 2022 amaieran agerian geratu zen.
Osasun, finantza eta legezko eremuko etxeentzat, hau ez zen urrutiko albistea. Sektore hauek benetako ardura dute datuak ihesten direnean. LastPass kasua arazo zabalago baten goiz seinale zen.
Erasoa Ahalbidetu Zuten Bi Akats
Gertakarien ondorengo berrikuspenak bi ahultasun nagusi aurkitu zituen.
Gako ezarpen ahula. LastPass-ek PBKDF2 erabili zuen gako erarotarako. Kontu berriagoek 100.100 iterazio zeukaten. OWASP-ek 600.000 gomendatzen du. Kontu zahar batzuek soilik 1 iterazio zeukaten. Iterazio gutxiagok indar gordinezko erasoak azkar eta merkeak egiten dituzte. Ganga fitxategiak zituzten erasotzaileak mastereko pasahitzak abiadura handian probatu zitzaketen.
Testua garbia metadatu. Ganga edukia enkriptatuta zegoen. Baina metadatua ez. URLak, erabiltzaile izenak eta zerbitzu izenak guztiak ebatsitako datuan ikusgarriak ziren. Erasotzaileak ikusi zezaketen zer zerbitzu bakoitzak erabiltzaileak kontuak zeuzkan. Horrek phishing eta egiaztagiri betetzea ahalbidetu zuen. Ez zen ganga cracking behar.
Kasu honek erakusten du bi galderak bereizita egin behar direla. "Diseinua zero-knowledge al da?" galdera bat da. "Eraikan zuzena al da?" galdera ezberdin bat da.
Okta 2023an: Eraso Ezberdin Bat, Emaitza Berdina
2023ko urrian, Okta-k segurtasun gertakaria jakinarazi zuen. Lapurtutako egiaztagiri batek erasotzaile bati bere bezero laguntza sistemara sarbidea eman zion. Erasoak 600.000 laguntza erregistro agerian utzi zituen. Hauek bezeroek laguntza saioetan kargaturiko fitxategiak barne zituzten.
Okta identitate segurtasun plataforma bat da. Arazoa ez zen diseinuzko akats bat. Sarbide kontrol hutsegite bat zen. Laguntza ingeniari baten saio hastea lapurtu zen. Erasotzaileak iristen ez ziren datuetara iristeko erabili zuen.
LastPass eta Okta-k hornitzaile konpromisora bi bide nagusiak erakusten dituzte:
- Diseinu akatsak -- zuzen eraikita ez ziren zero-knowledge aldarrikapenak
- Sarbide kontrol akatsak -- iristen ez diren datuetara iristeko baliozko egiaztagiriak erabilita
Zero-knowledge diseinua lehen motari aurre egiten dio. Ez du geldiarazi erasotzaile batek baliozko laguntza egiaztagiriak dituela. Baina ez die bezeroaren datuak irakurtzen uzten. Hornitzaileak ez du desenkriptatu daitekeen edukia edukitzen. Ikusi gure segurtasun eta betetze ikuspegia nola aplikatzen den hau PII tresnetara.
SaaS Segurtasun Gertakariak %300 Igo Ziren Bi Urtetan
Obsidian Security-k %300eko igoera aurkitu zuen SaaS plataforma segurtasun gertakarietan 2022tik 2024ra.
Hau ez da erasotzailearen trebetasunaren %300eko igoera. Bi indarrek bultzatu zuten. SaaS erabilera azkar hazi zen. Erasotzaileak datuei jarraitu zieten. Hornitzaile konpromiso batek dozenaka bezeroaren datuak aldi berean agerian utz ditzake. Ordainsari horrek hornitzaile erasoak aldezten ditu enpresa indibidualaren erasoen gainetik.
Hodeiko plataformak seguruak zirela suposatu zuten enpresek ikuspegi hori eguneratu behar dute. SaaS hornitzaileak orain lehen helburuak dira.
Hodei Hornitzaile Orori Galdetzeko Galderak
Erosketa eta segurtasun taldeetarako, zerrenda honek oinarrizko arloak estaltzen ditu.
Enkriptazio ezarpena:
- Eskatu gako eratze algoritmoa, iterazio kopurua eta memoria ezarpenak.
- Berretsi iterazio kopuruek OWASP minimoak betetzen dituztela. Hori 600.000 PBKDF2-SHA256 edo baliokide Argon2id da.
- Egiaztatu gako eratora zure gailuan exekutatzen dela, ez hornitzailearen zerbitzarietan.
Metadatu agerian:
- Galdetu zein metadatu gordetzen den testu garbian enkriptatutako edukiaren ondoan.
- Eskatu datu eredu bat. Zein eremu enkriptatuak diren eta zein eraso batean ikusgarriak diren erakutsi behar du.
Laguntza sarbidea:
- Galdetu laguntza langileek bezero datuetara sartu ahal duten.
- Berretsi laguntza sistemek bezero testu garbiara irits ez daitezkeela.
Gertakari historia:
- Eskatu aurretiko segurtasun gertakari guztiak, publiko zabalpen atarietatik behekoek barne.
- Ebaluatu aurretiko zabalpenak zein osoak eta zuzenak ziren.
LastPass gertakaria eraikuntza hutsegitek eta fidantzia hutsegitea zen. Erantzun zehatzak dituzten hornitzaileek arrisku berrikuspena benetakoa ahalbideratzen dute. Ohar lausoak dituzten hornitzaileek arrisku ezkutuan uzten dute. Arrisku hori sarritan soilik eraso ondoren agertzen da. Ikusi gure betetze ikuspegia hornitzaile ebaluazio gidantziarako.
anonym.legal-ek zero-knowledge arkitektura erabiltzen du PII anonimizaziorako. Gako eratora Argon2id bidez zure nabigatzailean edo mahaiganeko aplikazioan exekutatzen da. Enkriptazioa zure gailua utzi aurretik gertatzen da. Zerbitzariek soilik desenkriptatu ezin duten zifratzea gordetzen dute. Ikasi gehiago.