Lastpass, een van 's werelds meest gebruikte tools voor het beheer van wachtwoorden, heeft te maken met een hack. Het zou gaan om een gedeelte van de ontwikkelomgeving en niet om de productieomgeving. Volgens het Amerikaanse bedrijf zijn geen klantgegevens of versleutelde informatie over wachtwoorden ontvreemd.
Ruim 25 miljoen personen maken gebruik van Lastpass voor het beheer van digitale inloggegevens en andere gevoelige informatie, zoals creditcardgegevens. Je hoeft slechts één hoofdwachtwoord te onthouden en in te voeren, waarna de tool bij elk inlogscherm dat je bezoekt, eenvoudig de bijbehorende gebruikersnaam en wachtwoorden invult. Ontvreemding van hoofdwachtwoorden zou dus een groot beveiligingsprobleem zijn.
Er zou geen sprake zijn van ontvreemding van hoofdwachtwoorden of binnendringen van de persoonlijke digitale kluis waarin gebruikers al hun gebruikersnamen en wachtwoorden opslaan.
Broncode en technische informatie
Kwaadwillenden hebben zich toegang verschaft tot delen van de ontwikkelomgeving van Lastpass. Die zou op separate servers staan. Daar zijn mogelijk fragmenten van de broncode en technische informatie over de toepassing buitgemaakt. Voor toegang tot de ontwikkelomgeving gebruikten de criminelen een gecompromitteerde ontwikkelaarsaccount. Het is zorgelijk dat een deel van de broncode en technische informatie in handen van criminelen is.
Nadat de hack werd opgemerkt, is de ontwikkelomgeving afgegrendeld (‘contained’) en traden aanvullende beveiligingsmaatregelen in werking. Volgens Lastpass-topman Karim Toubba doet een gerenommeerd cybersecuritybedrijf forensisch onderzoek naar het voorval.
Het is niet de eerst keer dat Lastpass een beveiligingslek meldt. In juni 2015 drongen hackers de servers binnen, waarna het bedrijf zijn klanten opriep hun hoofdwachtwoord te wijzigen.
Lastpass, ze hebben wel visie.
Bij Philips vroeger, werd ook hard gewerkt onder het motto “my last Sony”.
Artikel roept meer aloude vragen op.
– is dit veroorzaakt door of juist door ontbreken van devsecops ?
– is dev niet niet zo goed prod ?
– who needs ransomeware ?
– open of closed source ?
“Nadat de hack werd opgemerkt, is de ontwikkelomgeving afgegrendeld (‘contained’) en traden aanvullende beveiligingsmaatregelen in werking.”
Er valt weer wat te leren van Cruijf : voordat ik de fout maak, maak ik hem niet
De inhoud van de broncode is niet echt interessant, kijk maar naar de open-source varianten van andere wachtwoordmanagers.
Het feit dat nu voor de zoveelste keer de beveiliging van de Lastpass infrastructuur en serverpark succesvol gehacked is, maakt deze tool qua beveiliging inferieur.
De fabrikant is incompetent gebleken om het platform zodanig te beveiligen, dat inbraak onmogelijk is.
Ondanks deze omissies gooit Lastpass nog steeds hoge ogen bij de vergelijkende testen van wachtwoordmanagers.
Het wordt tijd dat de platformbeveiliging een zwaarwegend testcriterium wordt.
Hoe weet je nou dat of de broncode nou wel of niet interessant is als je die niet gelezen hebt?
Wat zegt beveiliging van infrastructuur nu over kwaliteit van de password tool zelf?