Pelajaran dari Pelanggaran LastPass 2022 untuk Evaluasi Vendor
Pelanggaran LastPass 2022 adalah salah satu peristiwa keamanan paling instruktif dalam sejarah perangkat lunak enterprise. Meskipun LastPass mengklaim arsitektur zero-knowledge — dan sebagian besar benar — penyerang masih berhasil mencuri data yang sangat berharga.
Apa yang Terjadi di LastPass
Pada Agustus 2022, penyerang berhasil mengakses lingkungan pengembangan LastPass menggunakan kredensial pengembang yang dikompromikan. Dari sana, mereka mengeksfiltrasi kode sumber dan data teknis.
Pada November-Desember 2022, terungkap bahwa penyerang juga mengakses lingkungan penyimpanan cloud pihak ketiga, mencuri:
- Vault terenkripsi pelanggan: Berisi password yang dienkripsi dengan kunci master pengguna
- Data tidak terenkripsi: URL situs, nama pengguna (bukan password), alamat billing, alamat IP
Kunci master tidak pernah diketahui LastPass — ini adalah zero-knowledge sejati untuk password. Namun metadata dan informasi struktural dicuri.
Pelajaran Keamanan yang Dapat Dipetik
Pelajaran 1: Zero-knowledge melindungi konten, bukan metadata Meskipun password dienkripsi, penyerang mendapatkan informasi tentang situs mana yang digunakan korban, memungkinkan phishing yang ditargetkan.
Pelajaran 2: Rantai pasokan adalah vektor serangan Penyerang masuk melalui vendor penyimpanan cloud pihak ketiga, bukan langsung ke LastPass. Evaluasi keamanan vendor Anda mencakup semua sub-processor mereka.
Pelajaran 3: Keamanan pengembang sama pentingnya dengan keamanan produksi Lingkungan pengembangan yang dikompromikan memungkinkan gerakan lateral ke produksi. Keamanan DevOps adalah keamanan nyata.
Pelajaran 4: Rencana respons insiden yang buruk memperburuk dampak Komunikasi LastPass yang terlambat dan berubah-ubah merusak kepercayaan lebih dari pelanggaran itu sendiri.
Pertanyaan untuk Ditanyakan kepada Vendor Keamanan
Setelah LastPass, Anda harus bertanya kepada setiap vendor keamanan:
- Apakah Anda memiliki penyimpanan cloud atau infrastruktur pihak ketiga yang mengakses data pelanggan?
- Bagaimana lingkungan pengembangan Anda diisolasi dari produksi?
- Apa kebijakan kontrol akses karyawan Anda?
- Apakah Anda memiliki program respons insiden yang diuji?
- Data metadata apa yang Anda simpan bahkan untuk data "zero-knowledge"?
Implikasi untuk Evaluasi Vendor PII
Untuk alat anonimisasi PII dan perlindungan privasi:
- Verifikasi bahwa kunci enkripsi tidak pernah menyentuh server vendor
- Tanyakan tentang sub-processor dan rantai pasokan mereka
- Evaluasi kebijakan penghapusan metadata
- Periksa program respons insiden dan riwayat komunikasi
Sumber:
- LastPass Security Bulletin (Desember 2022)
- Ars Technica: "LastPass breach reveals extra data stolen" (Maret 2023)