Incident koji je promenio cloud bezbednost
Ažurirano za 2026.
LastPass proboj iz 2022. uglavnom nije priča o menadžerima lozinki. To je priča o poverenju. Kompanije su cloud dobavljaču poverile svoje podatke. To poverenje je slomljeno. Uzrok su bili skriveni nedostaci, ne nemarnost.
LastPass je prodavao zero-knowledge dizajn. U praksi, to nije bilo zero-knowledge. 25 miliona korisnika je imalo ukradene šifrovane trezore. Napad je prvi put objavljen u avgustu 2022. LastPass je revidirao svoja obelodanjavanja nekoliko puta. Puni obim je izašao na videlo do kraja 2022.
Za kompanije u zdravstvu, finansijama i pravu, ovo nije bila udaljena vest. Ti sektori suočavaju se sa stvarnom odgovornošću kada podaci procure. LastPass slučaj je bio rani znak šireg problema.
Dve mane koje su omogućile napad
Post-incident revizija je otkrila dva ključna slabosti.
Slabo podešavanje ključa. LastPass je koristio PBKDF2 za izvođenje ključa. Noviji nalozi su imali 100.100 iteracija. OWASP preporučuje 600.000. Neki stari nalozi su imali samo 1 iteraciju. Manje iteracija čini napade grubom silom brzim i jeftinim. Napadači sa trezorskim datotekama mogli su testirati master lozinke velikom brzinom.
Metapodaci u čistom tekstu. Sadržaj trezora je bio šifrovan. Ali metapodaci nisu. URL-ovi, korisnička imena i nazivi servisa bili su vidljivi u ukradenim podacima. Napadači su mogli videti koje servise svaki korisnik ima. To je omogućilo ciljani phishing i punjenje kredencijala. Nije bio potreban napad na trezor.
Ovaj slučaj pokazuje zašto se dva pitanja moraju postavljati odvojeno. Da li je dizajn zero-knowledge? je jedno pitanje. Da li je implementacija ispravna? je drugačije pitanje.
Okta 2023: Drugačiji napad, isti rezultat
U oktobru 2023. Okta je prijavila bezbednosni incident. Ukradeni kredencijal je napadaču dao pristup sistemu za podršku klijentima. Napad je izložio 600.000+ zapisa podrške. Ovi zapisi su uključivali datoteke koje su korisnici otpremili tokom sesija podrške.
Okta je platforma za bezbednost identiteta. Problem nije bio u dizajnu. Bila je to greška u kontroli pristupa. Prijava inženjera podrške je bila ukradena. Napadač ju je koristio da dođe do osetljivih podataka.
LastPass i Okta pokazuju dva glavna puta do kompromitacije dobavljača:
- Greške u dizajnu — zero-knowledge tvrdnje koje nisu ispravno izgrađene
- Greške u kontroli pristupa — validni kredencijali korišćeni za pristup podacima kojima ne bi trebalo
Zero-knowledge dizajn sprečava prvi tip. Ne zaustavlja napadača sa validnim kredencijalima podrške. Ali blokira tom napadaču čitanje podataka klijenata. Dobavljač nikada ne drži dešifrovani sadržaj. Pogledajte naš pregled bezbednosti i usklađenosti za informacije o tome kako se ovo primenjuje na PII alate.
SaaS bezbednosni incidenti porasli su 300% za dve godine
Obsidian Security je ustanovio skok od 300% u bezbednosnim incidentima SaaS platformi od 2022. do 2024.
Ovo nije skok od 300% u veštini napadača. Dve sile su to pokrenule. Upotreba SaaS-a je brzo rasla. Napadači su pratili podatke. Jedna kompromitacija dobavljača može odjednom izložiti podatke od desetina klijenata. Taj dobitak favorizuje napad na dobavljače umesto na pojedine kompanije.
Preduzeća koja su pretpostavljala da su cloud platforme bezbedne treba da ažuriraju taj pogled. SaaS dobavljači su sada primarne mete.
Pitanja koja treba postaviti svakom cloud dobavljaču
Za nabavne i bezbednosne timove, ova kontrolna lista pokriva ključne oblasti.
Podešavanje enkripcije:
- Zatražite algoritam izvođenja ključa, broj iteracija i memorijska podešavanja.
- Potvrdite da broj iteracija ispunjava OWASP minimume. To je 600.000 PBKDF2-SHA256 ili ekvivalentni Argon2id.
- Verifikujte da se izvođenje ključa odvija na vašem uređaju, ne na serverima dobavljača.
Izloženost metapodataka:
- Pitajte koji se metapodaci čuvaju u čistom tekstu pored šifrovanog sadržaja.
- Zatražite model podataka. Treba da prikazuje koja polja su šifrovana a koja su vidljiva u napadu.
Pristup podrške:
- Pitajte da li osoblje podrške može pristupiti podacima klijenata.
- Potvrdite da sistemi podrške ne mogu doseći čist tekst klijenata.
Istorija incidenata:
- Zatražite sve prethodne bezbednosne incidente, uključujući one ispod praga javnog obelodanjavanja.
- Procenite koliko su prethodna obelodanjavanja bila potpuna i poštena.
LastPass incident je bio greška u implementaciji i greška poverenja. Dobavljači sa konkretnim odgovorima omogućavaju stvarnu procenu rizika. Dobavljači sa nejasnim tvrdnjama ostavljaju rizik skriven. Taj rizik se često pojavljuje tek posle napada. Pogledajte naš pregled usklađenosti za smernice o proceni dobavljača.
anonym.legal koristi zero-knowledge arhitekturu za PII anonimizaciju. Izvođenje ključa odvija se putem Argon2id u vašem pretraživaču ili desktop aplikaciji. Enkripcija se dešava pre nego što podaci napuste vaš uređaj. Serveri čuvaju samo šifrovani tekst koji ne mogu dešifrovati. Saznajte više.