Incident, ktorý zmenil cloudovú bezpečnosť
Aktualizované pre rok 2026
Narušenie LastPass z roku 2022 sa netýka hlavne správcov hesiel. Týka sa dôvery. Firmy dôverovali cloudovému dodávateľovi so svojimi dátami. Tá dôvera sa zlomila. Príčinou boli skryté chyby, nie bezohľadnosť.
LastPass predával dizajn nulovej znalosti. V praxi nulová znalosť nebola. 25 miliónov používateľov malo ukradnuté svoje zašifrované trezory. Útok bol pôvodne zverejnený v auguste 2022. LastPass niekoľkokrát revidoval svoje zverejnenia. Plný rozsah sa ukázal koncom roku 2022.
Pre firmy v oblasti zdravotníctva, financií a práva to nebol vzdialený spravodajský príbeh. Tieto odvetvia čelia reálnej zodpovednosti pri úniku dát. Prípad LastPass bol raným signálom širšieho problému.
Dve slabiny, ktoré umožnili útok
Preskúmanie po incidente odhalilo dve kľúčové slabiny.
Slabé nastavenie kľúčov. LastPass použil PBKDF2 na deriváciu kľúčov. Novšie účty mali 100 100 iterácií. OWASP odporúča 600 000. Niektoré staré účty mali len 1 iteráciu. Menej iterácií robí útoky hrubou silou rýchlymi a lacnými. Útočníci so súbormi trezoru mohli testovať hlavné heslá vysokou rýchlosťou.
Metadáta v otvorenom texte. Obsah trezoru bol zašifrovaný. Ale metadáta neboli. URL adresy, používateľské mená a názvy služieb boli všetky viditeľné v ukradnutých dátach. Útočníci videli, ktoré služby mal každý používateľ účty. To umožnilo cielený phishing a plnenie poverení. Nebolo potrebné crackovat trezory.
Tento prípad ukazuje, prečo musia byť dve otázky kladené oddelene. "Je dizajn nulovou znalosťou?" je jedna otázka. "Je build správny?" je iná otázka.
Okta v roku 2023: Iný útok, rovnaký výsledok
V októbri 2023 Okta nahlásila bezpečnostný incident. Ukradnuté poverenie dalo útočníkovi prístup k jej systému zákazníckej podpory. Útok odhalil viac ako 600 000 záznamov podpory. Tieto zahŕňali súbory nahrané zákazníkmi počas relácií podpory.
Okta je platforma bezpečnosti identít. Problémom nebola chyba dizajnu. Bolo to zlyhanie kontroly prístupu. Prihlásenie podporného inžiniera bolo ukradnuté. Útočník ho použil na prístup k citlivým dátam.
LastPass a Okta ukazujú dve hlavné cesty ku kompromitácii dodávateľa:
- Zlyhania dizajnu - tvrdenia o nulovej znalosti, ktoré neboli správne zostavené
- Zlyhania kontroly prístupu - platné poverenia použité na prístup k dátam, ku ktorým by nemali dosiahnuť
Dizajn nulovej znalosti predchádza prvému typu. Nezastaví útočníka s platnými povereniami podpory. Ale blokuje toho útočníka pred čítaním dát zákazníkov. Dodávateľ nikdy nedrží dešifrovateľný obsah. Pozrite si náš prehľad bezpečnosti a súladu, kde sa dozviete, ako to platí pre nástroje PII.
Bezpečnostné udalosti SaaS vzrástli o 300 % za dva roky
Obsidian Security zaznamenal nárast o 300 % v bezpečnostných udalostiach platforiem SaaS od roku 2022 do roku 2024.
Toto nie je 300 % nárast zručností útočníkov. Dve sily to poháňali. Používanie SaaS rýchlo rástlo. Útočníci nasledovali dáta. Jedna kompromitácia dodávateľa môže odhaľovať dáta od desiatok klientov naraz. Táto výplata uprednostňuje útoky na dodávateľov pred útokmi na jednotlivé firmy.
Podniky, ktoré predpokladali, že cloudové platformy sú bezpečné, musia aktualizovať tento pohľad. Dodávatelia SaaS sú teraz primárnymi cieľmi.
Otázky na kladenie akémukoľvek cloudovému dodávateľovi
Pre tímy obstarania a bezpečnosti tento kontrolný zoznam pokrýva základné oblasti.
Nastavenie šifrovania:
- Vyžiadajte si algoritmus derivácie kľúčov, počet iterácií a nastavenia pamäte.
- Potvrďte, že počty iterácií spĺňajú minimá OWASP. To je 600 000 PBKDF2-SHA256 alebo ekvivalentné Argon2id.
- Overte, že derivácia kľúčov beží na vašom zariadení, nie na serveroch dodávateľa.
Expozícia metadát:
- Spýtajte sa, ktoré metadáta sú uložené v otvorenom texte vedľa šifrovaného obsahu.
- Vyžiadajte si dátový model. Mal by ukazovať, ktoré polia sú šifrované a ktoré sú viditeľné pri útoku.
Prístup podpory:
- Spýtajte sa, či pracovníci podpory môžu pristupovať k dátam zákazníkov.
- Potvrďte, že systémy podpory nemôžu dosiahnuť otvorený text zákazníka.
História incidentov:
- Vyžiadajte si všetky predchádzajúce bezpečnostné udalosti, vrátane tých pod prahmi verejného zverejnenia.
- Posúďte, aké úplné a čestné boli predchádzajúce zverejnenia.
Incident LastPass bol zlyhaním zostavenia aj zlyhaním dôvery. Predajcovia s konkrétnymi odpoveďami umožňujú skutočné preskúmanie rizík. Predajcovia s vágními tvrdeniami nechávajú riziko skryté. Toto riziko sa často povrchí až po útoku. Pozrite si náš prehľad súladu pre usmernenie pri hodnotení dodávateľov.
anonym.legal používa architektúru nulovej znalosti pre anonymizáciu PII. Derivácia kľúčov prebieha cez Argon2id vo vašom prehliadači alebo desktopovej aplikácii. Šifrovanie sa deje predtým, ako dáta opustia vaše zariadenie. Servery uchovávajú iba šifrovaný text, ktorý nedokážu dešifrovať. Dozvedieť sa viac.