Incident koji je promijenio sigurnost u oblaku
Ažurirano za 2026.
Proboj LastPassa iz 2022. uglavnom nije o upraviteljima lozinki. Radi se o povjerenju. Tvrtke su povjerile podatke dobavljaču u oblaku. To povjerenje se slomilo. Uzrok su bili skriveni nedostaci, ne bezobzirnost.
LastPass je prodavao dizajn s nultim znanjem. U praksi, to nije bilo nulto znanje. 25 milijuna korisnika imalo je svoje šifrirane trezore ukradene. Napad je prvotno objavljen u kolovozu 2022. LastPass je više puta revidirao svoja priopćenja. Puni opseg pojavio se do kasnog 2022.
Za tvrtke u zdravstvu, financijama i pravu, ovo nije bila udaljena vijest. Ti sektori suočavaju se sa stvarnom odgovornošću kada dođe do curenja podataka. Slučaj LastPassa bio je rani znak šireg problema.
Dva nedostatka koja su omogućila napad
Post-incident pregled otkrio je dvije ključne slabosti.
Slaba postavka ključa. LastPass je koristio PBKDF2 za derivaciju ključa. Noviji računi imali su 100.100 iteracija. OWASP preporučuje 600.000. Neki stari računi imali su tek 1 iteraciju. Manje iteracija čini napade grubom silom brzim i jeftinim. Napadači s datotekama trezora mogli su testirati glavne lozinke velikom brzinom.
Otvoreni metapodaci. Sadržaj trezora bio je šifriran. Ali metapodaci nisu bili. URL-ovi, korisnička imena i nazivi usluga bili su vidljivi u ukradenim podacima. Napadači su mogli vidjeti koje usluge svaki korisnik ima. To je omogućilo ciljani phishing i punjenje vjerodajnica. Nije bilo potrebno razbijanje trezora.
Ovaj slučaj pokazuje zašto se dva pitanja moraju postavljati zasebno. Je li dizajn nulto znanje? — to je jedno pitanje. Je li izgradnja ispravna? — to je drugo pitanje.
Okta u 2023.: Drukčiji napad, isti rezultat
U listopadu 2023., Okta je prijavila sigurnosni incident. Ukradena vjerodajnica dala je napadaču pristup sustavu korisničke podrške. Napad je izložio 600.000+ zapisa podrške. Oni su uključivali datoteke koje su klijenti prenosili tijekom sesija podrške.
Okta je platforma za sigurnost identiteta. Problem nije bio nedostatak dizajna. Bila je to pogreška kontrole pristupa. Prijava inženjera podrške je bila ukradena. Napadač ju je koristio za pristup osjetljivim podacima.
LastPass i Okta pokazuju dva glavna puta do kompromisa dobavljača:
- Neuspjesi dizajna — tvrdnje o nultom znanju koje nisu ispravno izgrađene
- Neuspjesi kontrole pristupa — valjane vjerodajnice korištene za pristup podacima kojima ne bi smjele pristupati
Dizajn s nultim znanjem sprječava prvu vrstu. Ne zaustavlja napadača s valjanim vjerodajnicama podrške. Ali blokira tog napadača od čitanja podataka klijenta. Dobavljač nikad ne drži dešifrirajući sadržaj. Pogledajte naš pregled sigurnosti i usklađenosti za to kako se ovo primjenjuje na PII alate.
SaaS sigurnosni događaji porasli su 300% u dvije godine
Obsidian Security pronašao je povećanje od 300% u sigurnosnim događajima SaaS platformi od 2022. do 2024.
Ovo nije 300%-ni porast u vještini napadača. Dvije sile su to pokrenule. Upotreba SaaS-a brzo je rasla. Napadači su slijedili podatke. Jedan kompromis dobavljača može izložiti podatke od desetaka klijenata odjednom. Ta isplata favorizira napade na dobavljače nasuprot napada na pojedinačne tvrtke.
Poduzeća koja su pretpostavljala da su platforme u oblaku sigurne trebaju ažurirati taj pogled. SaaS dobavljači su sada primarne mete.
Pitanja za svakog dobavljača u oblaku
Za timove nabave i sigurnosti, ovaj kontrolni popis pokriva temeljna područja.
Postavke enkripcije:
- Zatražite algoritam derivacije ključa, broj iteracija i postavke memorije.
- Potvrdite da broj iteracija ispunjava minimume OWASP-a. To je 600.000 PBKDF2-SHA256 ili ekvivalentni Argon2id.
- Verificirajte da se derivacija ključa odvija na vašem uređaju, a ne na poslužiteljima dobavljača.
Izlaganje metapodataka:
- Pitajte koji se metapodaci pohranjuju u otvorenom tekstu pored šifriranog sadržaja.
- Zatražite model podataka. Trebao bi pokazati koja su polja šifrirana, a koja su vidljiva u napadu.
Pristup podrške:
- Pitajte mogu li osoblje podrške pristupiti podacima klijenata.
- Potvrdite da sustavi podrške ne mogu dosegnuti otvoreni tekst klijenata.
Povijest incidenata:
- Zatražite sve prethodne sigurnosne događaje, uključujući one ispod pragova javnog otkrivanja.
- Procijenite koliko su potpuna i iskrena bila prethodna priopćenja.
LastPass incident bio je neuspjeh izgradnje i neuspjeh povjerenja. Dobavljači s konkretnim odgovorima omogućavaju stvarnu procjenu rizika. Dobavljači s nejasnim tvrdnjama ostavljaju rizik skriven. Taj rizik često izbija tek nakon napada. Pogledajte naš pregled usklađenosti za smjernice o procjeni dobavljača.
anonym.legal primjenjuje zero-knowledge na prijavu: derivacija ključa odvija se putem Argon2id u vašem pregledniku ili desktop aplikaciji, tako da vaša lozinka nikada ne napušta vaš uređaj. Tekst poslan na anonimizaciju obrađuje naš API hostiran u EU (Hetzner, Falkenstein). Spremljeni ključevi za enkripciju pohranjeni su enkriptirano na našim poslužiteljima, ali nisu zero-knowledge. Saznajte više.