Рішення ICO Last Pass
ICO слідкував, що Last Pass порушив GDPR при витоку пароля.
Витоки включали:
- Імена користувачів
- Електронні адреси
- Хешовані паролі (перейміні)
- Облікові записи
Вимоги ICO для технічної дотримання
Криптографія:
- Паролі мають бути хешовані (SHA-256+ або bcrypt)
- Додаткова сіль для кожного пароля
- Хеші мають бути недоступні навіть аймінам
Архітектура:
- Розділення полів пароля від решти даних
- Окремі БД для паролей
- Мінімум привілегій доступу
- Обмеження копій
Контроль доступу:
- Multi-factor authentication
- Логування усіх доступів
- Журналювання видалення
- Контроль версій
Контрольний список для Last Pass-подібних сервісів
- ☐ Перевірити хешування паролів
- ☐ Впровадити динамічну сіль
- ☐ Розділити базу паролів
- ☐ Записати усі доступи
- ☐ Проводити регулярні аудити безпеки