Kejadian yang Mengubah Keselamatan Awan
Dikemaskini untuk 2026
Pencerobohan LastPass 2022 bukan terutamanya tentang pengurus kata laluan. Ia tentang kepercayaan. Firma mempercayai vendor awan dengan data mereka. Kepercayaan itu pecah. Puncanya adalah kelemahan tersembunyi, bukan kecuaian.
LastPass menjual rekabentuk zero-knowledge. Dalam praktik, ia bukan zero-knowledge. 25 juta pengguna mempunyai vault yang disulitkan mereka dicuri. Serangan pertama kali didedahkan pada Ogos 2022. LastPass menyemak semula pendedahannya beberapa kali. Skop penuh muncul menjelang akhir 2022.
Bagi firma dalam penjagaan kesihatan, kewangan, dan undang-undang, ini bukan cerita berita yang jauh. Sektor-sektor ini menghadapi liabiliti sebenar apabila data bocor. Kes LastPass adalah isyarat awal masalah yang lebih luas.
Dua Kelemahan yang Membolehkan Serangan
Semakan pasca kejadian menemui dua kelemahan utama.
Persediaan kunci yang lemah. LastPass menggunakan PBKDF2 untuk derivasi kunci. Akaun baharu mempunyai 100,100 lelaran. OWASP mengesyorkan 600,000. Beberapa akaun lama mempunyai serendah 1 lelaran. Lebih sedikit lelaran menjadikan serangan kekerasan pantas dan murah. Penyerang dengan fail vault boleh menguji kata laluan induk pada kelajuan tinggi.
Metadata teks biasa. Kandungan vault telah disulitkan. Tetapi metadata tidak. URL, nama pengguna, dan nama perkhidmatan semuanya kelihatan dalam data yang dicuri. Penyerang boleh melihat perkhidmatan mana yang setiap pengguna ada akaun. Itu membolehkan phishing yang disasarkan dan pemadat kelayakan. Tiada peretasan vault diperlukan.
Kes ini menunjukkan mengapa dua soalan mesti ditanya secara berasingan. "Adakah rekabentuknya zero-knowledge?" adalah satu soalan. "Adakah pembinaannya betul?" adalah soalan yang berbeza.
Okta pada 2023: Serangan Berbeza, Hasil yang Sama
Pada Oktober 2023, Okta melaporkan kejadian keselamatan. Kelayakan yang dicuri memberikan penyerang akses kepada sistem sokongan pelanggannya. Serangan tersebut mendedahkan 600,000+ rekod sokongan. Ini termasuk fail yang dimuat naik oleh pelanggan semasa sesi sokongan.
Okta adalah platform keselamatan identiti. Isu bukan kelemahan rekabentuk. Ia adalah kegagalan kawalan akses. Log masuk jurutera sokongan telah dicuri. Penyerang menggunakannya untuk mencapai data sensitif.
LastPass dan Okta menunjukkan dua laluan utama kepada kompromi vendor:
- Kegagalan rekabentuk -- tuntutan zero-knowledge yang tidak dibina dengan betul
- Kegagalan kawalan akses -- kelayakan yang sah digunakan untuk mencapai data yang tidak sepatutnya dicapai
Rekabentuk zero-knowledge mencegah jenis pertama. Ia tidak menghalang penyerang dengan kelayakan sokongan yang sah. Tetapi ia menghalang penyerang itu daripada membaca data pelanggan. Vendor tidak pernah menyimpan kandungan yang boleh dinyahsulit. Lihat gambaran keselamatan dan pematuhan kami untuk cara ini digunakan pada alat PII.
Kejadian Keselamatan SaaS Meningkat 300% dalam Dua Tahun
Obsidian Security menemui peningkatan 300% dalam kejadian keselamatan platform SaaS dari 2022 hingga 2024.
Ini bukan peningkatan 300% dalam kemahiran penyerang. Dua kuasa mendorongnya. Penggunaan SaaS berkembang pesat. Penyerang mengikuti data. Satu kompromi vendor boleh mendedahkan data dari berpuluh pelanggan serentak. Bayaran itu memihak serangan vendor berbanding serangan firma individu.
Pekerja korporat yang menganggap platform awan selamat perlu mengemas kini pandangan itu. Vendor SaaS kini adalah sasaran utama.
Soalan untuk Ditanya kepada Mana-Mana Vendor Awan
Bagi pasukan pembelian dan keselamatan, senarai semak ini merangkumi kawasan teras.
Persediaan penyulitan:
- Minta algoritma derivasi kunci, kiraan lelaran, dan tetapan memori.
- Sahkan kiraan lelaran memenuhi minimum OWASP. Itu adalah 600,000 PBKDF2-SHA256 atau Argon2id yang setara.
- Sahkan derivasi kunci berjalan pada peranti anda, bukan di pelayan vendor.
Pendedahan metadata:
- Tanya metadata apa yang disimpan dalam teks biasa bersebelahan kandungan yang disulitkan.
- Minta model data. Ia harus menunjukkan medan yang disulitkan dan yang kelihatan dalam serangan.
Akses sokongan:
- Tanya sama ada kakitangan sokongan boleh mengakses data pelanggan.
- Sahkan sistem sokongan tidak boleh mencapai teks biasa pelanggan.
Sejarah kejadian:
- Minta semua kejadian keselamatan terdahulu, termasuk yang di bawah ambang pendedahan awam.
- Nilai seberapa lengkap dan jujur pendedahan terdahulu.
Kejadian LastPass adalah kegagalan pembinaan dan kegagalan kepercayaan. Vendor dengan jawapan khusus membenarkan semakan risiko sebenar. Vendor dengan tuntutan kabur meninggalkan risiko tersembunyi. Risiko itu sering muncul hanya selepas serangan. Lihat gambaran pematuhan kami untuk panduan penilaian vendor.
anonym.legal menggunakan seni bina zero-knowledge untuk penganoniman PII. Derivasi kunci berjalan melalui Argon2id dalam pelayar atau aplikasi desktop anda. Penyulitan berlaku sebelum data meninggalkan peranti anda. Pelayan hanya menyimpan teks sifer yang tidak boleh mereka nyahsulit. Ketahui lebih lanjut.