Incidentul Care a Schimbat Securitatea Cloud
Actualizat pentru 2026
Breșa LastPass din 2022 nu este în principal despre managerii de parole. Este despre încredere. Firmele au acordat încredere unui furnizor cloud cu datele lor. Acea încredere s-a rupt. Cauza a fost defecte ascunse, nu neglijență.
LastPass a vândut un design zero-knowledge. În practică, nu era zero-knowledge. 25 de milioane de utilizatori și-au văzut seifurile criptate furate. Atacul a fost dezvăluit prima dată în august 2022. LastPass și-a revizuit dezvăluirile de mai multe ori. Amploarea completă a ieșit la iveală la sfârșitul anului 2022.
Pentru firmele din sănătate, finanțe și juridic, acesta nu era o știre îndepărtată. Aceste sectoare se confruntă cu răspundere reală când datele scurg. Cazul LastPass a fost un semn timpuriu al unei probleme mai largi.
Două Defecte Care au Permis Atacul
Revizuirea post-incident a găsit două slăbiciuni cheie.
Configurare slabă a cheii. LastPass a folosit PBKDF2 pentru derivarea cheii. Conturile mai noi aveau 100.100 de iterații. OWASP recomandă 600.000. Unele conturi vechi aveau cât de puțin 1 iterație. Mai puține iterații fac atacurile prin forță brută rapide și ieftine. Atacatorii cu fișierele seifurilor puteau testa parolele principale cu viteză mare.
Metadate în text simplu. Conținutul seifului era criptat. Dar metadatele nu. URL-urile, numere de utilizator și numele serviciilor erau toate vizibile în datele furate. Atacatorii puteau vedea cu ce servicii avea conturi fiecare utilizator. Aceasta a permis phishing țintit și umplerea cu credențiale. Nu era necesară nicio spargere a seifului.
Acest caz arată de ce două întrebări trebuie puse separat. „Este design-ul zero-knowledge?" este o întrebare. „Este construcția corectă?" este o altă întrebare.
Okta în 2023: Un Alt Atac, Același Rezultat
În octombrie 2023, Okta a raportat un incident de securitate. O credențială furată a dat unui atacator acces la sistemul de suport pentru clienți. Atacul a expus 600.000+ de înregistrări de suport. Acestea includeau fișiere încărcate de clienți în timpul sesiunilor de suport.
Okta este o platformă de securitate a identității. Problema nu era un defect de design. Era un eșec de control al accesului. Autentificarea unui inginer de suport a fost furată. Atacatorul a folosit-o pentru a accesa date sensibile.
LastPass și Okta arată cele două căi principale către un compromis al furnizorului:
- Eșecuri de design — revendicări zero-knowledge care nu au fost construite corect
- Eșecuri de control al accesului — credențiale valide utilizate pentru a accesa date la care nu ar trebui să ajungă
Design-ul zero-knowledge previne primul tip. Nu oprește un atacator cu credențiale valide de suport. Dar îl blochează să citească datele clienților. Furnizorul nu deține niciodată conținut decriptabil. Consultați prezentarea noastră de securitate și conformitate pentru modul în care se aplică aceasta instrumentelor PII.
Evenimentele de Securitate SaaS au Crescut cu 300% în Doi Ani
Obsidian Security a găsit o creștere de 300% în evenimentele de securitate ale platformelor SaaS din 2022 până în 2024.
Aceasta nu este o creștere de 300% a abilității atacatorilor. Două forțe au condus-o. Utilizarea SaaS a crescut rapid. Atacatorii au urmat datele. Un compromis al unui furnizor poate expune datele de la zeci de clienți deodată. Acel câștig favorizează atacurile asupra furnizorilor față de atacurile asupra firmelor individuale.
Întreprinderile care au presupus că platformele cloud sunt sigure trebuie să actualizeze acea viziune. Furnizorii SaaS sunt acum ținte principale.
Întrebări de Pus Oricărui Furnizor Cloud
Pentru echipele de achiziție și securitate, această listă de verificare acoperă domeniile principale.
Configurarea criptării:
- Cereți algoritmul de derivare a cheii, numărul de iterații și setările de memorie.
- Confirmați că numărul de iterații îndeplinește minimele OWASP. Acesta este 600.000 PBKDF2-SHA256 sau Argon2id echivalent.
- Verificați că derivarea cheii rulează pe dispozitivul dvs., nu pe serverele furnizorului.
Expunerea metadatelor:
- Întrebați ce metadate sunt stocate în text simplu lângă conținut criptat.
- Solicitați un model de date. Ar trebui să arate ce câmpuri sunt criptate și care sunt vizibile într-un atac.
Accesul la suport:
- Întrebați dacă personalul de suport poate accesa datele clienților.
- Confirmați că sistemele de suport nu pot accesa textul simplu al clienților.
Istoricul incidentelor:
- Cereți toate evenimentele de securitate anterioare, inclusiv cele sub pragurile de dezvăluire publică.
- Evaluați cât de complete și oneste au fost dezvăluirile anterioare.
Incidentul LastPass a fost un eșec de construcție și un eșec de încredere. Furnizorii cu răspunsuri specifice permit o revizuire reală a riscului. Furnizorii cu revendicări vagi lasă riscul ascuns. Acel risc apare adesea numai după un atac. Consultați prezentarea noastră de conformitate pentru îndrumări privind evaluarea furnizorilor.
anonym.legal utilizează arhitectura zero-knowledge pentru anonimizarea PII. Derivarea cheii rulează prin Argon2id în browser-ul sau aplicația desktop. Criptarea se produce înainte ca datele să părăsească dispozitivul. Serverele stochează numai text cifrat pe care nu îl pot decripta. Aflați mai multe.