Bulut Güvenliğini Dönüştüren Olay
2026 için güncellendi
2022 LastPass ihlali esas olarak parola yöneticileriyle ilgili değil. Güven hakkında. Firmalar verilerini güveniyerek bir bulut tedarikçisine emanet etti. Bu güven çöktü. Neden ihmal değil, gizli açıklardı.
LastPass sıfır bilgi tasarımı satıyordu. Pratikte sıfır bilgi değildi. 25 milyon kullanıcının şifreli kasaları çalındı. Saldırı ilk olarak Ağustos 2022'de açıklandı. LastPass ifşaatlarını birkaç kez revize etti. Tam kapsam 2022'nin sonlarında ortaya çıktı.
Sağlık, finans ve hukuk alanındaki firmalar için bu uzak bir haber hikayesi değildi. Bu sektörler veri sızdığında gerçek yükümlülükle karşılaşıyor. LastPass davası daha geniş bir sorunun erken işaretiydi.
Saldırıyı Mümkün Kılan İki Açık
Olay sonrası inceleme iki temel zayıflığı ortaya koydu.
Zayıf anahtar kurulumu. LastPass, anahtar türetme için PBKDF2 kullandı. Yeni hesaplarda 100.100 yineleme vardı. OWASP 600.000 öneriyor. Bazı eski hesaplarda yalnızca 1 yineleme vardı. Daha az yineleme, kaba kuvvet saldırılarını hızlı ve ucuz kılıyor. Kasa dosyalarına sahip saldırganlar, ana parolaları yüksek hızda test edebiliyordu.
Düz metin meta verileri. Kasa içerikleri şifreleniyordu. Ama meta veriler değil. URL'ler, kullanıcı adları ve hizmet adlarının hepsi çalınan verilerde görünüyordu. Saldırganlar her kullanıcının hangi hizmetlerde hesabı olduğunu görebiliyordu. Bu, hedefli kimlik avı ve kimlik bilgisi doldurma saldırılarını mümkün kıldı. Kasa kırma gerekmiyordu.
Bu dava neden iki sorunun ayrı ayrı sorulması gerektiğini gösteriyor. "Tasarım sıfır bilgi mi?" bir soru. "Yapım doğru mu?" farklı bir soru.
2023'te Okta: Farklı Saldırı, Aynı Sonuç
Ekim 2023'te Okta bir güvenlik olayı bildirdi. Çalınan bir kimlik bilgisi, saldırgana müşteri destek sistemine erişim sağladı. Saldırı 600.000'den fazla destek kaydını ifşa etti. Bunlar, destek oturumları sırasında müşteriler tarafından yüklenen dosyaları içeriyordu.
Okta bir kimlik güvenlik platformu. Sorun bir tasarım açığı değildi. Erişim kontrolü başarısızlığıydı. Bir destek mühendisinin girişi çalındı. Saldırgan bunu hassas verilere ulaşmak için kullandı.
LastPass ve Okta, tedarikçi uzlaşısına giden iki ana yolu gösteriyor:
- Tasarım başarısızlıkları — doğru inşa edilmemiş sıfır bilgi iddiaları
- Erişim kontrolü başarısızlıkları — ulaşmaması gereken verilere ulaşmak için kullanılan geçerli kimlik bilgileri
Sıfır bilgi tasarımı birinci türü önlüyor. Geçerli destek kimlik bilgilerine sahip bir saldırganı durdurmaz. Ama o saldırganın müşteri verilerini okumasını engelliyor. Tedarikçi hiçbir zaman şifresi çözülebilir içeriği tutmuyor. KBB araçlarına nasıl uygulandığı için güvenlik ve uyumluluk genel bakışımıza bakın.
SaaS Güvenlik Olayları İki Yılda %300 Arttı
Obsidian Security, 2022'den 2024'e SaaS platform güvenlik olaylarında %300 artış tespit etti.
Bu, saldırgan becerisindeki %300'lük bir artış değil. İki güç bunu yönlendirdi. SaaS kullanımı hızla büyüdü. Saldırganlar verinin peşinden gitti. Tek bir tedarikçi uzlaşısı, aynı anda düzinelerce müşterinin verilerini ifşa edebilir. Bu kazanç, tek firma saldırıları yerine tedarikçi saldırılarını tercih ettiriyor.
Bulut platformlarının güvenli olduğunu varsayan kurumların bu görüşü güncellemesi gerekiyor. SaaS tedarikçileri artık birincil hedef.
Herhangi Bir Bulut Tedarikçisine Sorulacak Sorular
Satın alma ve güvenlik ekipleri için bu kontrol listesi temel alanları kapsıyor.
Şifreleme kurulumu:
- Anahtar türetme algoritmasını, yineleme sayısını ve bellek ayarlarını sorun.
- Yineleme sayılarının OWASP minimumlarını karşıladığını doğrulayın. Bu, 600.000 PBKDF2-SHA256 veya eşdeğer Argon2id.
- Anahtar türetmenin cihazınızda, tedarikçi sunucularında değil, çalıştığını doğrulayın.
Meta veri ifşası:
- Şifreli içeriğin yanında düz metin olarak hangi meta verilerin saklandığını sorun.
- Bir veri modeli talep edin. Hangi alanların şifreli, hangilerinin saldırıda görünür olduğunu göstermeli.
Destek erişimi:
- Destek personelinin müşteri verilerine erişip erişemeyeceğini sorun.
- Destek sistemlerinin müşteri düz metnine ulaşamayacağını doğrulayın.
Olay geçmişi:
- Kamuya açıklama eşiğinin altındakiler dahil tüm önceki güvenlik olaylarını isteyin.
- Önceki ifşaatların ne kadar eksiksiz ve dürüst olduğunu değerlendirin.
LastPass olayı bir yapım başarısızlığı ve bir güven başarısızlığıydı. Somut cevaplar veren tedarikçiler gerçek risk değerlendirmesine izin veriyor. Belirsiz iddialarla gelen tedarikçiler riski gizli tutuyor. Bu risk çoğunlukla yalnızca bir saldırının ardından ortaya çıkıyor. Tedarikçi değerlendirme rehberi için uyumluluk genel bakışımıza bakın.
anonym.legal, KBB anonimleştirme için sıfır bilgi mimarisi kullanıyor. Anahtar türetme, tarayıcınızda veya masaüstü uygulamanızda Argon2id aracılığıyla çalışıyor. Şifreleme, veriler cihazınızı terk etmeden önce gerçekleşiyor. Sunucular yalnızca şifresini çözemedikleri şifreli metni depolıyor. Daha fazla bilgi edinin.