Ontwikkelservers Lastpass doelwit van hackers

Dit artikel delen:

Lastpass, een van 's werelds meest gebruikte tools voor het beheer van wachtwoorden, heeft te maken met een hack. Het zou gaan om een gedeelte van de ontwikkelomgeving en niet om de productieomgeving. Volgens het Amerikaanse bedrijf zijn geen klantgegevens of versleutelde informatie over wachtwoorden ontvreemd.

Ruim 25 miljoen personen maken gebruik van Lastpass voor het beheer van digitale inloggegevens en andere gevoelige informatie, zoals creditcardgegevens. Je hoeft slechts één hoofdwachtwoord te onthouden en in te voeren, waarna de tool bij elk inlogscherm dat je bezoekt, eenvoudig de bijbehorende gebruikersnaam en wachtwoorden invult. Ontvreemding van hoofdwachtwoorden zou dus een groot beveiligingsprobleem zijn.

Er zou geen sprake zijn van ontvreemding van hoofdwachtwoorden of binnendringen van de persoonlijke digitale kluis waarin gebruikers al hun gebruikersnamen en wachtwoorden opslaan.

Broncode en technische informatie

"Zorgelijk dat een deel van de broncode en technische informatie in handen van criminelen is"

Kwaadwillenden hebben zich toegang verschaft tot delen van de ontwikkelomgeving van Lastpass. Die zou op separate servers staan. Daar zijn mogelijk fragmenten van de broncode en technische informatie over de toepassing buitgemaakt. Voor toegang tot de ontwikkelomgeving gebruikten de criminelen een gecompromitteerde ontwikkelaarsaccount. Het is zorgelijk dat een deel van de broncode en technische informatie in handen van criminelen is.

Nadat de hack werd opgemerkt, is de ontwikkelomgeving afgegrendeld ('contained') en traden aanvullende beveiligingsmaatregelen in werking. Volgens Lastpass-topman Karim Toubba doet een gerenommeerd cybersecuritybedrijf forensisch onderzoek naar het voorval.

Het is niet de eerst keer dat Lastpass een beveiligingslek meldt. In juni 2015 drongen hackers de servers binnen, waarna het bedrijf zijn klanten opriep hun hoofdwachtwoord te wijzigen.

x

Om te kunnen beoordelen moet u ingelogd zijn:

Dit artikel delen:

Reacties

Lastpass, ze hebben wel visie.
Bij Philips vroeger, werd ook hard gewerkt onder het motto "my last Sony".
Artikel roept meer aloude vragen op.
- is dit veroorzaakt door of juist door ontbreken van devsecops ?
- is dev niet niet zo goed prod ?
- who needs ransomeware ?
- open of closed source ?

"Nadat de hack werd opgemerkt, is de ontwikkelomgeving afgegrendeld ('contained') en traden aanvullende beveiligingsmaatregelen in werking."
Er valt weer wat te leren van Cruijf : voordat ik de fout maak, maak ik hem niet

De inhoud van de broncode is niet echt interessant, kijk maar naar de open-source varianten van andere wachtwoordmanagers.

Het feit dat nu voor de zoveelste keer de beveiliging van de Lastpass infrastructuur en serverpark succesvol gehacked is, maakt deze tool qua beveiliging inferieur.
De fabrikant is incompetent gebleken om het platform zodanig te beveiligen, dat inbraak onmogelijk is.

Ondanks deze omissies gooit Lastpass nog steeds hoge ogen bij de vergelijkende testen van wachtwoordmanagers.
Het wordt tijd dat de platformbeveiliging een zwaarwegend testcriterium wordt.

Hoe weet je nou dat of de broncode nou wel of niet interessant is als je die niet gelezen hebt?
Wat zegt beveiliging van infrastructuur nu over kwaliteit van de password tool zelf?

Nieuwsbrief

Wil je dagelijks op de hoogte gehouden worden van het laatste ict-nieuws, trends en ontwikkelingen? Abonneer je dan op onze gratis nieuwsbrief.

Vul een geldig e-mailadres in

Stuur dit artikel door

Uw naam ontbreekt
Uw e-mailadres ontbreekt
De naam van de ontvanger ontbreekt
Het e-mailadres van de ontvanger ontbreekt

×
×
article 2022-08-26T10:19:00.000Z Diederik Toet


Wilt u dagelijks op de hoogte worden gehouden van het laatste ict-nieuws, achtergronden en opinie?
Abonneer uzelf op onze gratis nieuwsbrief.