- הוא משתמש במודל אפס ידע עם הצפנת AES-256, מה שמבטיח שסיסמת המאסטר לעולם לא תעזוב את מכשיר המשתמש.
- היא סבלה מפריצות חמורות בשנת 2022 עקב טעויות אנוש ושימוש בציוד אישי, מה שהוביל לקנסות של מיליוני ליש"ט בבריטניה.
- היא יישמה שיפורים עמוקים, כולל תקן ISO 27701 ותשתית ענן חזקה יותר כדי למנוע אירועים חדשים.
אם אתם מחפשים דרך להימנע מלהשתגע עם כל כך הרבה סיסמאות, כנראה שנתקלתם ב-LastPass. מנהל הסיסמאות הזה הפך לאחד הכלים הפופולריים ביותר לריכוז כל הגישה לחשבונות שלנו, החל מדוא"ל ועד לבנקאות מקוונת, ובכך מונע מאיתנו את הצורך לשנן צירופים בלתי אפשריים או, גרוע מכך, להשתמש באותו סיסמה עבור הכל.
אבל כמובן, כשאנחנו מדברים על אבטחת אינטרנט, תמיד יש מחלוקת. LastPass עברה כמה תקופות קשות והייתה בעין הסערה בגלל כמה פגיעויות אבטחה, מה שהוביל רבים לתהות האם באמת אמין להפקיד בידיהם גישה לחיינו הדיגיטליים. בואו נבחן מקרוב איך זה עובד ומה בדיוק קרה.
כיצד LastPass מגן על הנתונים שלך?
הבסיס של כל המערכת שלהם הוא מה שהם מכנים מודל אפס הידע . משמעות הדבר היא שלחברה אין מושג מהי סיסמת המאסטר שלך. מפתח זה קיים רק בראש שלך ומעובד באופן מקומי במכשיר שלך, כך שהוא לעולם לא מאוחסן בטקסט רגיל בשרתים שלהם.
כדי לאפשר זאת, הם משתמשים בתהליך טכני חזק למדי. הם משתמשים בהצפנת AES של 256 סיביות יחד עם פונקציית גזירה בשם PBKDF2 וגיבוב מאובטח (SHA256). במילים פשוטות יותר: הם הופכים את הסיסמה שלך למפתח הצפנה מורכב המשמש לנעילת הכספת שלך. כשאתה מנסה להתחבר, המערכת מאמתת שהגיבוב שנוצר תואם לזה המאוחסן, ומבטיחה שרק אתה יכול לפענח את המידע.
כלים ופונקציות עיקריים
מעבר לאחסון שמות משתמש וסיסמאות בלבד, תוכנה זו מציעה מגוון תוספות שמקלות על החיים. בין התכונות הבולטות שלה נמנות:
- מחולל מפתחות מאובטחיוצר צירופים אקראיים המבוססים על מה שתרצו (אורך, סמלים, אותיות גדולות) ומפעיל אותם דרך ספריית zxcvbn כדי להבטיח שלא יהיה קל לנחש אותם.
- מילוי אוטומטישוכח לרשום מידע על טפסים, כתובות או כרטיסי אשראי בכתב יד.
- ניהול פתקים ו-PINמאפשר לך לשמור כל רשומה דיגיטלית רגישה בסביבה מוצפנת.
- ביטחון מחוזקכולל תמיכה באימות דו-שלבי (MFA) וגישה דרך ביומטריה כמו טביעת אצבעות.
כל זה זמין במערכת אקולוגית מרובת פלטפורמות, החל מתוספים עבור Chrome, Firefox, Edge, Opera ו-Safari, ועד יישומים מקוריים עבור Windows, macOS, Android ו-iOS.
צל של אירועי אבטחה
לא הכל עבר חלק. בין השנים 2011 ו-2022, הפלטפורמה סבלה מכמה תקלות. המשמעותית שבהן התרחשה בסוף 2022, כאשר תוקף הצליח לחדור לסביבת הפיתוח. הבעיה החלה בנקודת תורפה במחשב של עובד באירופה ולאחר מכן התפשטה למחשב אישי של עובד אחר בארצות הברית.
מתקפה שנייה זו הייתה הקריטית ביותר מכיוון שלעובד הייתה גישה למפתחות פענוח חיוניים. ההאקר השתמש בתוכנת keylogger כדי לגנוב את סיסמת המאסטר של העובד ועקף את האימות הרב-גורמי על ידי גניבת קובץ Cookie מהימן. החמור ביותר, העובד ערבב בין חשבונותיו האישיים וחשבונותיו העסקיים באמצעות אותה סיסמה, מה שאפשר גישה לנתוני AWS ולקוחות.
כתוצאה מכך, דלפו נתונים מכ-1,6 מיליון משתמשים בבריטניה, כולל שמות, כתובות דוא"ל וכתובות URL שמורות לאתרים. כתוצאה מכך, רשות ניירות הערך הבינלאומית (ICO) של בריטניה קנסה אותם ב -1,2 מיליון ליש"ט על כך שלא אבטחו כראוי את מערכותיהם ואפשרו שימוש במכשירים אישיים למשימות קריטיות.
הצעדים שננקטו והמצב הנוכחי
לאחר חששות אלו, החברה נקטה בפעולה החלטית לניקוי תדמיתה ולשיפור התשתית שלה. הם עברו לפלטפורמת ענן מאובטחת הרבה יותר ויישמו שימוש במכשירים מנוהלים כדי למנוע הישנות של התקלות שחווים עם ציוד אישי.
יתר על כן, הם חיזקו את תאימותם הרגולטורית על ידי שילוב גרסת 2022 של תקן ISO 27701 ומעבר של הערכות IRAP. כעת יש להם צוותים המתמחים אך ורק במודיעין איומים ופרטיות, ומרכזים את כל השקיפות במרכז תאימות. למרות שכמה חוקרים, כמו מייק קוקץ, הזהירו מפני השימוש במעקבי שיווק, החברה המשיכה להתפתח כדי למזער פגיעויות.
עד היום, LastPass נותרה אופציה בת קיימא מכיוון שהצפנת כספת מתבצעת במכשיר של המשתמש. למרות שנתונים אישיים עלולים להיפגע, סיסמאות אמיתיות נותרו מאובטחות הודות למערכת אפס הידע. עבור אלו המחפשים חלופות, קיימות אפשרויות כמו 1Password, Bitwarden או NordPass, אך המפתח הוא תמיד לאפשר אימות דו-שלבי ולעדכן את התוכנה כדי למנוע פתיחת דלת בפני פושעי סייבר.
