Un hash LastPass trapelato consente all'autore dell'attacco di recuperare password cifrate (ciphertexts)?

Question

Un hash LastPass trapelato consente all'autore dell'attacco di recuperare password cifrate (ciphertexts)?

#1 da (2 voti)
#2 da (1 voti)

5

Normalmente i server LastPass non invieranno password crittografate a meno che il client non dimostri di conoscere la password principale. Con l'hash trapelato, diventa possibile per un utente malintenzionato recuperare le password crittografate (cioè i ciphertexts, che sono inutili senza la password principale) senza prima screpolare l'hash trapelato per ottenere la chiave master?

Mi rendo conto che a questo punto LastPass non invierà password crittografate ai nuovi IP, ma deve esserci stata una finestra in cui avrebbero dovuto. Se ciò è possibile, allora dobbiamo supporre che gli aggressori siano riusciti a prelevare almeno una parte delle password crittografate.

Questa sarebbe una cattiva notizia per chiunque abbia una password master non ottimale, perché se c'è qualche possibilità che possa cadere in un attacco offline allora cambiare la tua password principale da sola non aiuterà : dovresti anche cambiare la password effettiva prima la tua password principale debole è incrinata.

Al contrario, se non pensi che la tua password principale possa cadere in un attacco offline, dato quello che sappiamo sull'algoritmo di hashing, allora non ha senso cambiare nulla. L'unico scenario in cui cambierebbe la tua password principale ma non le password effettive è se ritieni che i tuoi testi cifrati non siano stati scaricati dall'attaccante. Altrimenti puoi cambiare tutto o non modificare nulla.

È uno scenario plausibile? Ti aspetteresti che gli aggressori siano riusciti a recuperare una certa percentuale dei testi cifrati della password crittografata?

lastpass

posta RomanSt 16.06.2015 - 15:15

fonte

2 risposte

Leggi altre domande sui tag lastpass

Converti dump di memoria grezza in un formato riconosciuto dalla volatilità Cosa fare quando iPhone viene colpito con successo

score 2 · Answer 1

Supponendo che, ad un certo punto dopo la violazione, LastPass avrebbe fornito i database delle password a chiunque conoscesse solo il nome utente e la password di un account, indipendentemente dal computer dal quale erano connessi, quindi la risposta è fondamentalmente "sì, è possibile".

In queste condizioni, se un utente malintenzionato fosse in grado di decifrare la password principale di un utente e accedere all'account LastPass di quell'utente prima che LastPass modificasse la sua sicurezza, il database delle password di un utente sarebbe stato sicuramente compromesso.

Tuttavia, quella finestra temporale era (presumibilmente) piccola. Con le pratiche di sicurezza adeguate in atto per quanto riguarda l'hashing & archiviazione delle password principali, sarebbe in genere improbabile che chiunque con una password master avanzata avrebbe avuto il suo account compromesso all'interno di quella finestra. Gli account con password master estremamente deboli e / o comuni potrebbero aver avuto i loro hash crackizzati, ma chiunque altro sarebbe probabilmente "sicuro".

Detto questo, è ancora molto probabile che alcuni utenti possano avere i loro account irrotti persino con le nuove misure di sicurezza. LastPass sta tornando alla verifica della posta elettronica per i nuovi sistemi che accedono a un account. Se la password principale di un utente è scomposta e quella stessa password è tutto ciò che protegge il proprio account di posta elettronica, sarebbe un po 'banale per un utente malintenzionato aggirare la nuova misura di sicurezza.

score 1 · Answer 2

Lastpass fornisce solo password crittografate a coloro che si sono autenticati.

Lastpass crittografa le password usando la tua password principale e le memorizza nella "user vault". Il "vault utente" è disponibile solo dopo l'autenticazione dell'utente. Quella password principale è memorizzata in un hash. L'hash della password principale (tra alcuni altri dettagli) è ciò che è noto essere stato preso.

In base al blog LastPad :

In our investigation, we have found no evidence that encrypted user vault data was taken, nor that LastPass user accounts were accessed.

Poiché l'hash principale è stato compromesso, Lastpass richiede che gli accessi da nuovi dispositivi o indirizzi IP vengano prima verificati tramite e-mail. Prima che questo controllo aggiuntivo fosse messo in atto, gli aggressori avrebbero potuto accedere al tuo account (a condizione che tu non avessi l'autenticazione a due fattori sul posto), ma solo dopo aver violato il tuo hash. A causa del sale e del numero di round in atto, è difficile rompere l'hash per una password sufficientemente complessa.