LastPass-eigenaar GoTo meldt diefstal van back-ups klanten
Bij een aanval op GoTo, het moederbedrijf van LastPass dat eerder nog bekendstond als LogMeIn, zijn ook de back-ups van klanten gestolen en de encryptiesleutel om de data te ontsleutelen. Op 30 november meldde LastPass dat een aanvaller toegang had gekregen tot een third-party cloudopslagdienst die het deelt met moederbedrijf GoTo.
De aanvaller wist met gegevens die bij een ander beveiligingsincident afgelopen augustus werden gestolen toegang tot klantgegevens te krijgen. Nu bijna twee maanden later meldt GoTo dat versleutelde back-ups van klanten van verschillende diensten zijn gestolen. Het gaat om de zakelijke communicatiettool Central, Pro, meeting-app join.me, vpn-dienst Hamachi en remote access tools RemotelyAnywhere en Pro.
Bij de aanval is ook voor een "deel van de versleutelde back-ups" de encryptiesleutel buitgemaakt, waardoor de data is te ontsleutelen. Daardoor zijn gebruikersnamen, gesalte en gehashte wachtwoorden, een deel van de multifactorauthenticatie (MFA) instellingen, productinstellingen en licentiegegevens in handen van de aanvaller gekomen.
GoTo zegt dat het op dit moment geen bewijs heeft dat ook andere GoTo-producten zijn getroffen. Naar aanleiding van de datadiefstal gaat GoTo van getroffen klanten de wachtwoorden resetten en hun MFA-instellingen opnieuw autoriseren.
Wat gaat GoTo doen?
Ik ben jaren premium gebruiker geweest van LastPass maar ik ben heel blij dat ik eind vorig jaar ben overgestapt.
Wel een kriem om meteen een paar honderd wachtwoorden te wijzigen, maar na dit soort berichten lijkt niets bij LastPass nog veilig.
Achteraf je master password veranderen heeft totaal geen zin. Je zult alle wachtwoorden van alle accounts moeten resetten.
GoTo considered harmful
GoTo considered harmful
Als ze dit overleven zullen ze zichzelf wel een andere naam geven om los te komen van hun inmiddels slechte reputatie. Twee goede namen voor een bedrijf dat iets achter zich probeert te laten en het voortaan anders wil doen:
• Alter — in COBOL, een hele programmeertaal die Dijkstra schadelijk vond, is ALTER een achterhaald statement waarmee opdracht gegeven wordt om elke GO TO (met spatie) naar het opgegeven label voortaan naar een ander label te laten springen. Een recept voor totale verwarring, natuurlijk, het programma doet niet meer wat de broncode lijkt aan te geven.
• Comefrom — een statement dat een goto naar zichzelf injecteert op een plaats waar die in de broncode niet staat. De resulterende verwarring is vergelijkbaar met die van het ALTER-statement, alleen zit comefrom in talen en soms library's die puur als grap zijn bedoeld.
...en als ze dan je keepass bestand in handen krijgen kunnen ze die lekker off-site brute forcen en jij weet van niks...
...en als ze dan je keepass bestand in handen krijgen kunnen ze die lekker off-site brute forcen en jij weet van niks...
En dat is een reden om het in de cloud te doen? Waar ze je wel informeren maar ook gelijk erbij vertellen dat ze ook het master wachtwoord hebben. Rare redenatie. Daarnaast kan je keepass extra beveiligen met een key file (en die zelfs nog encrypten met een certificaat) oftewel ze hebben dan je wachtwoord nodig, de key file en het certificaat. Brute forcen is al onmogelijk met een complex wachtwoord laat staan met deze extra maatregelen.
Wel is het zo dat besturingssystemen en programma's, sinds ik begon met computeren (ca. 45 jaar geleden), qua complexiteit en dus qua aanvalsoppervlak geëxplodeerd zijn. En waar "security" steeds achteraf wordt ingeprakt. Waardoor, als een aanvaller "lokale toegang" heeft gehad, het -zelfs voor experts- nagenoeg onmogelijk is om vast te stellen wat die aanvaller allemaal heeft veranderd en hoe je het systeem weer in betrouwbare staat kunt herstellen.
Deze exploit is het zoveelste druppeltje in een emmer die al heel lang overliep. Leuk voor pentesters maar verder bewijst het niets.
Wel vind ik dit (echt gemeend) sneu voor Dominik Reichl, die zijn uiterste best doet om een zo veilig mogelijke wachtwoordmanager te maken, ondanks tekortkomingen van moderne (schreef ik dat echt? Ik bedoelde op stokoude "legacy" concepten gebaseerde) besturingsystemen met telkens nieuwe "looks" (waardoor startmenu's niet meer werken en ga zo maar door).
Ik gebruik zelf Bitwarden met een zeer sterk wachtwoord en Yubikey als 2FA. Ik ging er vanuit dat als de Bitwarden server wordt gehacked, ze alleen de versleutelde bestanden buit hebben gemaakt. Met een wachtwoord > 30 tekens lijkt brute forcen hiervan niet realistisch.
https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/
Staat alleen op de website van het moederbedrijf GoTo, waar LastPass-gebruikers niet zo snel op zullen kijken:
https://www.goto.com/blog/our-response-to-a-recent-security-incident
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.