Incidents, Kas Mainīja Mākoņa Drošību
Atjaunināts 2026. gadam
- gada LastPass pārkāpums nav galvenokārt par paroļu pārvaldītājiem. Tas ir par uzticību. Firmas uzticēja mākoņpiegādātājam savus datus. Šī uzticība salūza. Cēlonis bija slēpti trūkumi, nevis neuzmanība.
LastPass pārdeva nulles zināšanu dizainu. Praksē tas nebija nulles zināšanu. 25 miljoniem lietotāju tika nozagtas viņu šifrētās velves. Uzbrukums tika pirmoreiz atklāts 2022. gada augustā. LastPass vairākas reizes pārskatīja savus paziņojumus. Pilnais apmērs parādījās 2022. gada beigās.
Veselības aprūpes, finanšu un juridisko biroju firmām tas nebija tālu ziņu stāsts. Šie sektori saskaras ar reālu atbildību, kad dati noplūst. LastPass lieta bija agrīna plašākas problēmas zīme.
Divi Trūkumi, Kas Iespējoja Uzbrukumu
Pēcincidenta pārskatīšana atklāja divus galvenos vājos punktus.
Vājš atslēgas iestatījums. LastPass izmantoja PBKDF2 atslēgas atvasināšanai. Jaunākiem kontiem bija 100 100 iterācijas. OWASP iesaka 600 000. Dažiem veciem kontiem bija tik maz kā 1 iterācija. Mazāk iterāciju padara brute-force uzbrukumus ātrus un lētus. Uzbrucēji ar velves failiem varēja pārbaudīt galvenās paroles lielā ātrumā.
Vienkāršā teksta metadati. Velves saturs bija šifrēts. Bet metadati nebija. URL, lietotājvārdi un pakalpojumu nosaukumi bija visi redzami nozagtajos datos. Uzbrucēji varēja redzēt, kuriem pakalpojumiem katram lietotājam ir konti. Tas iespējoja mērķtiecīgu pikšķerēšanu un akreditācijas datu pildīšanu. Velves uzlaušana nebija nepieciešama.
Šī lieta parāda, kāpēc divi jautājumi ir jāuzdod atsevišķi. "Vai dizains ir nulles zināšanu?" ir viens jautājums. "Vai izveide ir pareiza?" ir atšķirīgs jautājums.
Okta 2023. gadā: Atšķirīgs Uzbrukums, Viens un Tas Pats Rezultāts
- gada oktobrī Okta ziņoja par drošības incidentu. Nozagts akreditācijas dati deva uzbrucējam piekļuvi tā klientu atbalsta sistēmai. Uzbrukums atklāja 600 000+ atbalsta ierakstus. Tie ietvēra failus, ko klienti augšupielādēja atbalsta sesiju laikā.
Okta ir identitātes drošības platforma. Problēma nebija dizaina kļūda. Tā bija piekļuves kontroles kļūme. Atbalsta inženiera pieteikšanās tika nozagta. Uzbrucējs to izmantoja, lai sasniegtu sensitīvus datus.
LastPass un Okta parāda divus galvenos piegādātāja kompromisa ceļus:
- Dizaina kļūmes - nulles zināšanu prasības, kas nebija pareizi uzceltas
- Piekļuves kontroles kļūmes - derīgi akreditācijas dati, kas izmantoti, lai sasniegtu datus, kuriem nevajadzētu būt pieejamiem
Nulles zināšanu dizains novērš pirmo veidu. Tas neaptur uzbrucēju ar derīgiem atbalsta akreditācijas datiem. Bet tas bloķē šo uzbrucēju no klientu datu lasīšanas. Piegādātājam nekad nav atšifrējama satura. Skatiet mūsu drošības un atbilstības pārskatu, kā tas attiecas uz PII rīkiem.
SaaS Drošības Notikumi Pieauga par 300% Divos Gados
Obsidian Security konstatēja 300% pieaugumu SaaS platformas drošības notikumos no 2022. līdz 2024. gadam.
Tas nav 300% uzbrucēju prasmju pieaugums. Divi spēki to izraisīja. SaaS lietošana strauji pieauga. Uzbrucēji sekoja datiem. Viens piegādātāja kompromiss var vienlaicīgi atklāt datus no desmitiem klientu. Šis atlīdzinājums dod priekšroku piegādātāju uzbrukumiem pār atsevišķu firmu uzbrukumiem.
Uzņēmumi, kas pieņēma, ka mākoņplatformas ir drošas, ir jāatjaunina šis viedoklis. SaaS piegādātāji tagad ir primārie mērķi.
Jautājumi, Ko Uzdot Jebkuram Mākoņpiegādātājam
Iepirkuma un drošības komandām šis kontrolsaraksts aptver galvenās jomas.
Šifrēšanas iestatījums:
- Jautājiet atslēgas atvasināšanas algoritmu, iterāciju skaitu un atmiņas iestatījumus.
- Apstipriniet, ka iterāciju skaits atbilst OWASP minimumiem. Tas ir 600 000 PBKDF2-SHA256 vai ekvivalents Argon2id.
- Pārbaudiet, ka atslēgas atvasināšana notiek jūsu ierīcē, nevis piegādātāja serveros.
Metadatu atklāšana:
- Jautājiet, kādi metadati tiek glabāti vienkāršā tekstā blakus šifrētam saturam.
- Pieprasiet datu modeli. Tam jāparāda, kuri lauki ir šifrēti un kuri ir redzami uzbrukuma gadījumā.
Atbalsta piekļuve:
- Jautājiet, vai atbalsta darbinieki var piekļūt klientu datiem.
- Apstipriniet, ka atbalsta sistēmas nevar sasniegt klientu vienkāršo tekstu.
Incidentu vēsture:
- Jautājiet par visiem iepriekšējiem drošības notikumiem, tostarp tiem, kas zemāk par publiskās atklāšanas sliekšņiem.
- Novērtējiet, cik pilnīgi un godīgi bija iepriekšējie atklājumi.
LastPass incidents bija izveides kļūme un uzticības kļūme. Piegādātāji ar konkrētām atbildēm ļauj veikt reālu riska pārskatīšanu. Piegādātāji ar neskaidrām prasībām atstāj risku slēptu. Tas risks bieži parādās tikai pēc uzbrukuma. Skatiet mūsu atbilstības pārskatu piegādātāja novērtēšanas norādījumiem.
anonym.legal izmanto nulles zināšanu arhitektūru PII anonimizācijai. Atslēgas atvasināšana notiek caur Argon2id jūsu pārlūkprogrammā vai darbvirsmas lietotnē. Šifrēšana notiek pirms dati atstāj jūsu ierīci. Serveri glabā tikai šifrētu tekstu, kuru tie nevar atšifrēt. Uzziniet vairāk.