Galvenie punkti:
2022. gada augustā paroļu pārvaldības pakalpojums LastPass piedzīvoja kiberuzbrukumu, un tika izņemti lietotāju šifrētie akreditācijas dati.
Izmantojot brutālu spēku uzminēšanu, uzbrucējs var atšifrēt dažas LastPass lietotāju vietņu paroles.
Galvenā parole tiek izmantota, lai šifrētu glabātuves, padarot uzbrucējam neiespējamu tās nolasīt.
Organizācija ir veikusi izmeklēšanu un atklājusi, ka uzbrucējs izmantoja šīs tehniskās zināšanas, lai uzlauztu cita darbinieka ierīci, lai nozagtu piekļuves marķierus klienta datiem, kas glabājas mākoņa krātuves sistēmā.
Paroļu pārvaldnieks Lastpass 2022. gada augustā redzēja, ka neidentificēti uzbrucēji piekļuva saviem serveriem un zog klientu datus. Tajā bija iekļautas viņu IP adreses, no kurām viņi izmantoja uzņēmuma paroļu skapja pakalpojumus, viņu paroles, lietotājvārdi, uzņēmumu nosaukumi utt.
Klienta glabātuve tika klonēta ar visu viņu informāciju, apstiprināja arī Lastpass, teikts uzņēmuma 23. decembra paziņojumā. Kad zagļi no Lastpass izstrādes nodaļas ieguva informāciju par pirmkodiem, notikusi datu zādzība. Cits darbinieks bija avota kodu zādzības mērķis, un viņi varēja iegūt paroles un atslēgas, lai atvērtu Lastpass mākoņa krātuves apjomus.
Paziņojums par neseno drošības incidentu — LastPass emuārs#lastpasshack#hack#lastpass#infosec https://t.co/sQALfnpOTy
— Tomass Zikels (@thomaszickell) 2022. gada 23. decembris
Tika paņemtas arī šifrētas glabātuves, kas piederēja dažiem klientiem. Katrs klients, kurš izmanto pakalpojumu LastPass, saglabā savas vietņu paroles šajās glabātuvēs. Par laimi, glabātuvēm ir galvenā parole, kas tās šifrē, neļaujot iebrucējam tās nolasīt.
Uzņēmuma paziņojumā uzsvērts, ka pakalpojums izmanto visprogresīvāko šifrēšanu, kas padara uzbrucējam neticami sarežģītu skatīt glabātuves failus bez galvenās paroles.
"Šie šifrētie lauki joprojām ir aizsargāti ar 256 bitu AES šifrēšanu, un tos var atšifrēt tikai ar unikālu šifrēšanas atslēgu, kas iegūta no katra lietotāja galvenās paroles, izmantojot mūsu nulles zināšanu arhitektūru. Atgādinām, ka LastPass nekad nezina galveno paroli, un LastPass to neuzglabā un neuztur.
Neskatoties uz to, LastPass atzīst, ka, ja lietotājs ir izvēlējies vāju galveno paroli, uzbrucējs var izmantot brutālu spēku, lai to uzminētu, atšifrētu glabātuvi un iegūtu visas lietotāja vietņu paroles.
LastPass uzbrukums pierāda faktu, par kuru Web3 izstrādātāji ir strīdējušies gadiem ilgi: blokķēdes maka pieteikšanās ir jāaizstāj parastā lietotājvārda un paroles pieteikšanās mehānisma vietā.
Kā ziņoja Coincu, ConsenSys atjaunināja savu privātuma politiku pēc Uniswap. Infura apkopos lietotāja IP datus un Ethereum maka adresi, kad viņi nosūtīs darījumu, kad izmantos Infura kā noklusējuma RPC nodrošinātāju MetaMask makā.
Tas sanikno sabiedrību, jo tiks atklāta viņu informācija, un var teikt, ka decentralizācija no MetaMask pamazām izzūd. ConsenSys nekavējoties atbildēja lietotājiem, ka viņi vāc datus tikai tad, kad lietotāji veic darījumus.
ATRUNA: Informācija šajā tīmekļa vietnē ir sniegta kā vispārīgs tirgus komentārs un nav ieguldījumu konsultācijas. Mēs iesakām pirms ieguldīšanas veikt savu izpēti.
Pievienojieties mums, lai sekotu līdzi jaunumiem: https://linktr.ee/coincu
Vietne: coincu.com
Harolds
Coincu ziņas