Incidentas, pakeitęs debesijos saugumą
Atnaujinta 2026 m.
2022 m. LastPass pažeidimas yra ne tiek apie slaptažodžių tvarkykles. Jis yra apie pasitikėjimą. Firmos pasitikėjo debesijos tiekėju savo duomenimis. Tas pasitikėjimas lūžo. Priežastis buvo paslėpti trūkumai, o ne neatsargumas.
LastPass pardavė nulinių žinių dizainą. Praktiškai jis nebuvo nulinių žinių. 25 mln. vartotojų turėjo savo užšifruotas saugyklas pavogtas. Ataka pirmą kartą buvo atskleista 2022 m. rugpjūtį. LastPass kelis kartus peržiūrėjo savo atskleidimus. Visas mastas paaiškėjo 2022 m. pabaigoje.
Sveikatos priežiūros, finansų ir teisės firmoms tai nebuvo tolima žinia. Šie sektoriai susiduria su realia atsakomybe, kai duomenys nuteka. LastPass byla buvo ankstyvasis platesnės problemos ženklas.
Du trūkumai, leidę atakai
Poincidentinė peržiūra rado du pagrindinius silpnumus.
Silpnas raktų nustatymas. LastPass naudojo PBKDF2 raktų išvedimui. Naujesni paskyros turėjo 100 100 iteracijų. OWASP rekomenduoja 600 000. Kai kurie seni paskyrai turėjo tik 1 iteraciją. Mažiau iteracijų padaro žiaurios jėgos atakas greitas ir pigias. Uzpuolikai su saugyklų failais galėjo testuoti pagrindinius slaptažodžius dideliu greičiu.
Aiškaus teksto metaduomenys. Saugyklų turinys buvo užšifruotas. Tačiau metaduomenys - ne. URL, vartotojų vardai ir paslaugų pavadinimai visi buvo matomi vogtiniuose duomenyse. Uzpuolikai galėjo matyti, kokias paslaugas kiekvienas vartotojas naudoja. Tai leido tikslinį sukčiavimą ir kredencialų stuffing. Saugyklų laužimas nebuvo reikalingas.
Ši byla rodo, kodėl du klausimai turi būti užduodami atskirai. "Ar dizainas yra nulinių žinių?" yra vienas klausimas. "Ar kūrimas yra teisingas?" yra kitas klausimas.
Okta 2023 m.: kita ataka, tas pats rezultatas
2023 m. spalį Okta pranešė apie saugumo incidentą. Pavogtas kredencialas suteikė uzpuolikui prieigą prie jo klientų palaikymo sistemos. Ataka atskleidė daugiau nei 600 000 palaikymo įrašų. Tai apėmė failus, klientų įkeltus per palaikymo seansus.
Okta yra tapatybės saugumo platforma. Problema nebuvo dizaino trūkumas. Tai buvo prieigos kontrolės nesėkmė. Palaikymo inžinieriaus prisijungimas buvo pavogtas. Uzpuolikas jį panaudojo pasiekti jautrius duomenis.
LastPass ir Okta rodo du pagrindinius tiekėjo kompromiso kelius:
- Dizaino nesėkmės - nulinių žinių teiginiai, kurie nebuvo teisingai sukurti
- Prieigos kontrolės nesėkmės - galiojantys kredencialai, naudojami pasiekti duomenims, kurių jie neturėtų pasiekti
Nulinių žinių dizainas užkerta kelią pirmajam tipui. Jis nesustabdo uzpuoliko su galiojančiais palaikymo kredencialais. Tačiau jis blokuoja tą uzpuoliką nuo klientų duomenų skaitymo. Tiekėjas niekada nelaiko iššifruojamo turinio. Žiūrėkite mūsų saugumo ir atitikties apžvalgą apie tai, kaip tai taikoma PII įrankiams.
SaaS saugumo įvykiai išaugo 300 % per dvejus metus
Obsidian Security nustatė 300 % augimą SaaS platformų saugumo įvykiuose nuo 2022 iki 2024 m.
Tai nėra 300 % uzpuoliku įgūdžių augimas. Dvi jėgos tai lėmė. SaaS naudojimas greitai augo. Uzpuolikai sekė paskui duomenis. Vienas tiekėjo kompromisas gali atskleisti duomenis iš dešimčių klientų iš karto. Ta nauda skatina tiekėjų atakas prieš vienos firmos atakas.
Įmonės, manusios, kad debesijos platformos yra saugios, turi atnaujinti tą požiūrį. SaaS tiekėjai dabar yra pirminiai taikiniai.
Klausimai, kuriuos reikia užduoti bet kuriam debesijos tiekėjui
Pirkimo ir saugumo komandoms šis sąrašas apima pagrindines sritis.
Šifravimo nustatymas:
- Prašykite raktų išvedimo algoritmo, iteracijų skaičiaus ir atminties nustatymų.
- Patvirtinkite, kad iteracijų skaičiai atitinka OWASP minimums. Tai yra 600 000 PBKDF2-SHA256 arba lygiavertis Argon2id.
- Patikrinkite, kad raktų išvedimas vyksta jūsų įrenginyje, o ne tiekėjo serveriuose.
Metaduomenų atskleidimas:
- Klauskite, kokie metaduomenys laikomi aiškiu tekstu šalia užšifruoto turinio.
- Prašykite duomenų modelio. Jis turėtų rodyti, kurie laukai yra užšifruoti ir kurie yra matomi atakos metu.
Palaikymo prieiga:
- Klauskite, ar palaikymo darbuotojai gali pasiekti klientų duomenis.
- Patvirtinkite, kad palaikymo sistemos negali pasiekti klientų aiškaus teksto.
Incidentų istorija:
- Prašykite visų ankstesnių saugumo įvykių, įskaitant tuos, kurie yra žemiau viešo atskleidimo slenksčių.
- Įvertinkite, kaip išsamūs ir sąžiningi buvo ankstesni atskleidimai.
LastPass incidentas buvo kūrimo nesėkmė ir pasitikėjimo nesėkmė. Tiekėjai su konkrečiais atsakymais leidžia realų rizikos peržiūrą. Tiekėjai su neaiškiais teiginiais palieka riziką paslėptą. Ta rizika dažnai iškyla tik po atakos. Žiūrėkite mūsų atitikties apžvalgą dėl tiekėjo vertinimo gairių.
anonym.legal naudoja nulinių žinių architektūrą PII anonimizavimui. Raktų išvedimas vyksta per Argon2id jūsų naršyklėje ar darbalaukio programoje. Šifravimas vyksta prieš duomenims paliekant jūsų įrenginį. Serveriai saugo tik šifrotekstą, kurio jie negali iššifruoti. Sužinokite daugiau.