duydun tekrar tekrar: Güçlü, benzersiz şifreler oluşturmak ve bunları sizin yerinize takip etmek için bir şifre yöneticisi kullanmanız gerekir. Ve nihayet, özellikle 2010’larda, ücretsiz ve yaygın bir seçenekle dalmaya başladıysanız, bu muhtemelen LastPass’tı. Bununla birlikte, güvenlik hizmetinin 25,6 milyon kullanıcısı için şirket, 22 Aralık’ta endişe verici bir duyuru yaptı: Şirketin daha önce (30 Kasım’da) bildirdiği bir güvenlik olayı, aslında şifreli şifre kasalarını – taç mücevherleri – açığa çıkaran büyük ve endişe verici bir veri ihlaliydi. diğer kullanıcı verileriyle birlikte herhangi bir parola yöneticisinin.
LastPass’ın bir hafta önce durumla ilgili sağladığı ayrıntılar, güvenlik uzmanlarının hızla kullanıcıları diğer hizmetlere geçmeleri için aramaya başlamasına neden olacak kadar endişe vericiydi. Açıklamanın üzerinden yaklaşık bir hafta geçmesine rağmen şirket, kafası karışmış ve endişeli müşterilere ek bilgi sağlamadı. LastPass, WIRED’in ihlalde kaç parola kasasının ele geçirildiği ve kaç kullanıcının etkilendiği hakkında yorum yapmasına yönelik birden çok isteğini geri döndürmedi.
Şirket, ihlalin ne zaman gerçekleştiğini bile açıklamadı. Ağustos 2022’den sonra gibi görünüyor, ancak zamanlama önemlidir, çünkü büyük bir soru, saldırganların çalınan şifre kasalarını şifrelemek için kullanılan anahtarları “kırmaya” veya tahmin etmeye başlamasının ne kadar süreceğidir. Saldırganların çalınan verilerle üç veya dört ayları varsa, etkilenen LastPass kullanıcıları için durum, bilgisayar korsanlarının yalnızca birkaç haftası olduğu duruma göre çok daha acildir. Şirket ayrıca, WIRED’in şifrelenmiş ve şifrelenmemiş kasa verilerini depolamak için kullandığı “özel bir ikili biçim” dediği şey hakkındaki sorularına yanıt vermedi. Şirket, durumun ölçeğini karakterize ederken, yaptığı duyuruda bilgisayar korsanlarının “şifreli saklama kabından müşteri kasası verilerinin bir yedeğini kopyalayabildiklerini” söyledi.
Yedi yılı aşkın bir süre önce LastPass’ta çalışan bir güvenlik mühendisi olan Evan Johnson, “Bence olayları tespit ederek birinci sınıf bir iş çıkarıyorlar ve sorunları önleme ve şeffaf bir şekilde yanıt verme konusunda gerçekten çok berbat bir iş çıkarıyorlar” diyor. “Ya yeni seçenekler arardım ya da yeni yönetim ekibinin önümüzdeki birkaç ay içinde güven oluşturmaya yeniden odaklandığını görmek isterdim.”
İhlal, adlar, e-posta adresleri, telefon numaraları ve bazı fatura bilgileri dahil olmak üzere diğer müşteri verilerini de içerir. Ve LastPass, kasa verilerini parolalar gibi öğelerin şifrelendiği ancak URL’ler gibi diğer bilgilerin şifrelenmediği karma bir biçimde depolamasıyla uzun süredir eleştirildi. Bu durumda, bir kasadaki düz metin URL’leri, saldırganlara kasanın içinde ne olduğu hakkında bir fikir verebilir ve hangi kasaların kırılma üzerinde ilk olarak çalışacaklarına öncelik vermelerine yardımcı olabilir. Kullanıcı tarafından seçilen bir ana parola ile korunan kasalar, ihlalin ardından kendilerini korumak isteyen kullanıcılar için özel bir sorun teşkil eder, çünkü bu birincil parolayı şimdi LastPass ile değiştirmek, kasa verilerini korumak için hiçbir şey yapmaz. zaten çalındı
Ya da Johnson’ın ifadesiyle, “kasalar kurtarıldığında, LastPass’i hackleyen kişiler, parolaları tahmin ederek ve belirli kullanıcıların ana anahtarlarını kurtarmaya çalışarak çevrimdışı saldırılar için sınırsız zamana sahip olur.”
