האירוע ששינה את אבטחת הענן
מעודכן ל-2026
פרצת LastPass של 2022 אינה עוסקת בעיקרה במנהלי סיסמאות. היא עוסקת באמון. חברות בטחו בספק ענן עם הנתונים שלהן. האמון הזה נשבר. הסיבה הייתה ליקויים נסתרים, לא פזיזות.
LastPass מכרה תכנון של אפס-ידע. בפועל, זה לא היה אפס-ידע. 25 מיליון משתמשים נגנבו הכספות המוצפנות שלהם. ההתקפה נחשפה לראשונה באוגוסט 2022. LastPass עדכנה את גילוייה מספר פעמים. ההיקף המלא הופיע בסוף 2022.
לחברות בבריאות, פיננסים ומשפטים, זה לא היה סיפור חדשות מרוחק. מגזרים אלו ניצבים בפני אחריות ממשית כאשר נתונים דולפים. תיק LastPass היה אות מוקדם לבעיה רחבה יותר.
שני ליקויים שאפשרו את ההתקפה
סקירה לאחר האירוע מצאה שתי חולשות מרכזיות.
הגדרת מפתח חלשה. LastPass השתמשה ב-PBKDF2 לגזירת מפתחות. חשבונות חדשים יותר היו עם 100,100 איטרציות. OWASP ממליצה על 600,000. חשבונות ישנים מסוימים היו עם איטרציה אחת בלבד. פחות איטרציות הופכות התקפות כוח גס למהירות וזולות. תוקפים עם קבצי כספות יכלו לבדוק סיסמאות מאסטר במהירות גבוהה.
מטא-נתונים בטקסט רגיל. תוכן הכספות היה מוצפן. אך מטא-נתונים לא היה. כתובות URL, שמות משתמש ושמות שירות היו גלויים בנתונים הגנובים. תוקפים יכלו לראות באילו שירותים כל משתמש היה בעל חשבונות. זה אפשר פישינג ממוקד ומילוי אישורים. לא היה צורך בפיצוח כספות.
תיק זה מראה מדוע שתי שאלות חייבות להישאל בנפרד. "האם התכנון הוא אפס-ידע?" היא שאלה אחת. "האם הבנייה נכונה?" היא שאלה שונה.
Okta ב-2023: התקפה שונה, אותה תוצאה
באוקטובר 2023 דיווחה Okta על אירוע אבטחה. אישורים גנובים נתנו לתוקף גישה למערכת תמיכת הלקוחות שלה. ההתקפה חשפה 600,000+ רשומות תמיכה. אלו כללו קבצים שהועלו על ידי לקוחות במהלך פגישות תמיכה.
Okta היא פלטפורמת אבטחת זהות. הבעיה לא הייתה פגם בתכנון. זה היה כישלון בקרת גישה. הכניסה של מהנדס תמיכה נגנבה. התוקף השתמש בה כדי להגיע לנתונים רגישים.
LastPass ו-Okta מדגימות שני מסלולים עיקריים לפשרת ספק:
- כישלונות תכנון — טענות אפס-ידע שלא נבנו נכון
- כישלונות בקרת גישה — אישורים תקפים שמשמשים להגעה לנתונים שאמורים להיות מוגבלים
תכנון אפס-ידע מונע את הסוג הראשון. הוא אינו עוצר תוקף עם אישורי תמיכה תקפים. אך הוא חוסם אותו תוקף מקריאת נתוני לקוחות. הספק לעולם לא מחזיק תוכן הניתן לפענוח. ראו את סקירת האבטחה והציות שלנו לגבי אופן יישום זה לכלי PII.
אירועי אבטחת SaaS עלו 300% בשנתיים
Obsidian Security מצאה עלייה של 300% באירועי אבטחת פלטפורמת SaaS מ-2022 עד 2024.
זו לא עלייה של 300% ביכולות התוקפים. שתי כוחות הניעו זאת. השימוש ב-SaaS גדל מהר. תוקפים עקבו אחרי הנתונים. פשרת ספק אחת יכולה לחשוף נתונים מעשרות לקוחות בבת אחת. תשלום זה מעדיף התקפות ספק על פני התקפות חברה בודדת.
ארגונים שהניחו שפלטפורמות ענן בטוחות צריכים לעדכן נקודת מבט זו. ספקי SaaS הם כעת יעדים ראשיים.
שאלות לכל ספק ענן
לצוותי רכש ואבטחה, רשימת בדיקה זו מכסה את התחומים המרכזיים.
הגדרת הצפנה:
- בקשו את אלגוריתם גזירת המפתחות, ספירת איטרציות והגדרות זיכרון.
- אשרו שספירות איטרציות עומדות במינימום OWASP. זה 600,000 PBKDF2-SHA256 או Argon2id שקול.
- אמתו שגזירת מפתחות פועלת על המכשיר שלכם, לא על שרתי הספק.
חשיפת מטא-נתונים:
- שאלו אילו מטא-נתונים מאוחסנים בטקסט רגיל לצד תוכן מוצפן.
- בקשו מודל נתונים. הוא צריך להראות אילו שדות מוצפנים ואילו גלויים בהתקפה.
גישת תמיכה:
- שאלו האם צוות תמיכה יכול לגשת לנתוני לקוחות.
- אשרו שמערכות תמיכה אינן יכולות להגיע לטקסט רגיל של לקוחות.
היסטוריית אירועים:
- בקשו את כל אירועי האבטחה הקודמים, כולל אלו שמתחת לסף גילוי ציבורי.
- העריכו עד כמה גילויים קודמים היו מלאים וכנים.
תקרית LastPass הייתה כישלון בנייה וכישלון אמון. ספקים עם תשובות ספציפיות מאפשרים בדיקת סיכון אמיתית. ספקים עם טענות מעורפלות משאירים סיכון נסתר. סיכון זה לרוב מופיע רק לאחר התקפה. ראו את סקירת הציות שלנו להנחיות הערכת ספקים.
anonym.legal משתמשת בארכיטקטורת אפס-ידע לאנונימיזציה של PII. גזירת מפתחות מתרחשת דרך Argon2id בדפדפן או באפליקציית שולחן העבודה שלכם. הצפנה מתרחשת לפני שנתונים עוזבים את המכשיר שלכם. שרתים שומרים רק טקסט מוצפן שהם לא יכולים לפענח. למידע נוסף.