Взломали LastPass, компания утверждает что волноваться не о чем
LastPass, чьими услугами пользуется примерно 33 миллиона пользователей и 100000 компаний был взломан. Украдены сорсы и проприетарная информация. Компания заявляет что нет свидетельств того что взломщик добрался до зашифрованных паролей пользователей, их данных и любой другой информации.LastPass разослал пользователям письма с уведомлением о том что посторонние получили доступ к их девелоперскому окружению. Необычная активность была обнаружена 2 недели назад. Хакер скачал части внутреннего кода сайта и документы с технической информацией.
"Немедленно было начато расследование, мы не видели доказательств что этот инцидент имел отношение к данным клиентов или зашифрованным паролям"
В отличие от компании Plex LastPass не давало пользователям советов о смене паролей. Хакер проник в систему через единственный скомпрометированный девелоперский аккаунт, дополнительной информации на этот счет нет. Компания сообщает что они выполняют меры по ограничению и обезвреживанию и наняли ведущую фирму по кибербезопасности. LastPass дополнительно сообщает что введены усиленные меры безопасности и не видит больше никаких доказательств несанкционированной деятельности.
Несмотря на огромную популярность это не первый инцидент в истории LastPass. В 2019 году компания выпускала патч для уязвимости позволяющей хакерам получить доступ к данным с последнего посещенного сайта, в 2017 году была выявлена уязвимость расширения браузера.
В декабре пользователи сообщали о попытках получения доступа с использованием их мастер паролей. Компания утверждала что это результат использования одинаковых паролей на разных сайтах, но независимые источники сообщали что это произошло из-за еще одной уязвимости расширения браузера.
https://www.techspot.com/news/95772-lastpass-hacked-tells-users-not-worry.html
Еще на тему
33 ляма народу и 100000 компаний... Попали они крупно.
я же правильно понимаю твой саркастичный комментарий?
Но если серьезно то:
Утечка исходников только значит что кто-то получил доступ к машине с гит/свн (а то и просто спиздил личный ноут сотрудника). Даже в самой паршивой ит помойке, личные машины не имеют неограниченного доступа к дев машинам, а гит/свн машины будут отдельно от билд и сиай машины. Пароли и соль всегда будут хранишься в енвах, а не в коде. И все дев машины с вероятностью в 99.99% будут жить в дев сети никак не пересекающийся с прод сетью.
Полный доступ к машинам в прод сети это уже страшнее. Потому что там будет жить машина с работающим приложением (которое или которая скорее всего хранит соль и креды к базе). Но база, тоже в идеале, будет енкриптед ет рест и только разрешать подключение либо от приложения либо от сиай, и никогда от пользователя. В таком случае на доступ к прод сети И на воровство соли тоже вообще пофиг.
А чтобы стало совсем страшно, нужно украсть и соль, и получить полный контроль над сиай и/или прод машиной с приложением, чтобы заменить его на свое которое будет выкачивать и снимать соль со всех паролей и пересылать их куда надо. Что тем не менее, должно вызвать даунтайм приложения и привлечь внимание к инциденту, потому у хакера в таком случае будет достаточно ограниченно время.
В итоге, утечка исходников это индикатор что что-то может быть хуже чем говорят. Но если это ТОЛЬКО утечка исходников то вообще плевать.
Сама суть паролей в том, что их вообще нельзя сука хранить! Только помнить.
С другой - практически каждый первый говносайт сейчас требует регистрацию.
Записывать весь этот хлам в блокнотик - заебёшься.
Поэтому, имхо, хранить некритичные пароли (очень желательно сгенерированные, ну или просто уникальные) в штуках вроде ластпасса приемлемо.
Взломали? Ну и хуй с ним. Утёкший рандомный пароль от какого-нибудь порносайта особо не навредит.
Как уже подметили когда у тебя накапливается пачка аккаунтов со сложными уникальными паролями то блокнот становится не очень удобен.
А всякие интернет магазины... Максимум, что можно получить с таких аккаунтов - это какие-то скидочные баллы, которые нахуй не всрались, и адрес доставки, который в принципе проще получить из налоговой и прочих.
Или ты просто думаешь что таких нет. Это как хранить деньги наличкой дома, рано или поздно кто-то на неё наткнётся. Я к примеру заначки родителей вполне себе находил. У меня одноклассник из тайника родителей воровал деньги. У меня и в общаге было один раз пропали деньги. Грабителю не составит труда всё перевернуть вверх дном и найти все заначки. Ну и пожар может случиться или ещё что. Ну да, банк наверное тоже могут ограбить, или он может обанкротится, но банку я всё равно доверяю больше. Плюс я могу деверсифицировать накопления по банкам. То же самое с паролями.
Настоящий ад будет, если ломанут гугловскую систему синхронизации паролей между браузерами.
Ну или ффоксовую/майкрософтовую, там тоже в браузерах есть свои.
Я очень жду, когда какая-нибудь компания в подобное ситуации скажет
"Пизда всему. Мы проебали всё, вообще всё, понимаете. Ваши пароли, данные и анусы теперь принадлежат хакерам. А наша репутация теперь на дне, рядом с квалификацией наших сотрудников"
они же: а чо это все на бумажках их пишут и к монитору лепят?
Сегодня их ломают, завтра они блокируют свой сервис на территории твоей страны, послезавтра банкротятся и закрывают сайт со стовами "мы всё, всем пока". Локалка KeePass и бекапы это единственный безопасный способ.