Ciekawy incydent bezpieczeństwa w LastPassie (nie, hasła nie wyciekły)

Mamy takie dziwne wrażenie, że coraz więcej słyszymy o incydentach w poważnych firmach zabezpieczających nasze cyfrowe życie. Cloudflare, Signal, Twilio, Okta – to tylko ostatnie tygodnie, a właśnie dołącza do nich znany manager haseł LastPass.

Zaczniemy od tego, że wasze hasła (jeśli używacie LastPassa) nie wyciekły. To ważna informacja. Przy okazji dodamy, że o ile pamiętamy, z żadnego znanego managera haseł online nigdy hasła użytkowników nie zostały wykradzione (poprawcie nas, jeśli się mylimy). Nie da się jednak ukryć, że LastPass, podobnie jak inne popularne programy do zarządzania hasłami w chmurze, jest ciekawym celem ataku. Na szczęście producent LastPassa ma tyle przyzwoitości, by informować także o mniej skutecznych atakach na swoją infrastrukturę. Przed chwilą ogłosił właśnie, że padł ofiarą ataku na środowisko programistyczne.

Co się stało

LastPass nie był zbyt wylewny w swoim komunikacie, ale destylując jego treść, możemy poinformować, że dwa tygodnie temu ktoś niepowołany przełamał zabezpieczenia konta jednego z deweloperów aplikacji i uzyskał dostęp do środowiska programistycznego. Napastnik ukradł fragmenty kodu źródłowego i poufne informacje techniczne (nie wyjaśniono jakie).

Napastnik, według zapewnień LastPassa, nie miał dostępu do danych klientów.

Dlaczego przechowywanie haseł w chmurze jest jednak bezpieczne

LastPass podkreśla (i słusznie), że napastnik nie mógł wykraść haseł użytkowników, ponieważ sama firma nie zna hasła głównego, którym zabezpieczone są hasła jej klientów w chmurze. To sensowne tłumaczenie, chociaż niepełne – zapewne nie jest zbyt wielką gimnastyką umysłową opracowanie scenariusza, w którym zmodyfikowany klient aplikacji lub zmodyfikowana witryna WWW pomaga napastnikowi w dobraniu się do naszych haseł. Klientom LastPassa pozostaje nadzieja, że firma dobrze przygotowała się do takich scenariuszy ataku. Na korzyść LastPassa przemawia także fakt, że atak na środowisko programistyczne został wykryty oraz zakomunikowany.

Czy powinniście przestać trzymać hasła w chmurze? W naszej ocenie nie ma takiej konieczności. Oczywiście można hasła trzymać lokalnie – tu przyda się nasz poradnik o managerach haseł (tak, wygrywa KeepassXC). Warto jednak pamiętać, że i tak plik z hasłami trzeba jakoś synchronizować między urządzeniami, więc ciężko od chmury do końca uciec.

Epilog

Wracając do wstępu artykułu, coś dużo ostatnio ataków na poważne firmy. Ciekawe, czy atak na LastPassa miał też związek z atakiem na Twilio (które świadczy usługi wysyłki kodów SMS wielu poważnym klientom), gdzie podobno ofiarą padło ponad 160 firm i ok. 10 tysięcy różnych kont ich klientów lub pracowników. Coś czujemy, że echa tego ataku będą się jeszcze przez internet przetaczać.