LastPass nie jest bezpieczny: możliwe jest rozszyfrowanie głównego hasła do sejfu
Popularny internetowy manager haseł jakim jest LastPass nie zapewnia odpowiedniego poziomu bezpieczeństwa. Takie informacje napłynęły z tegorocznej konferencji DefCamp poświęconej bezpieczeństwu, na której pokazano sposób na rozszyfrowanie hasła głównego użytkownika. Atakujący zyskujący dostęp do niego przejmuje tak naprawdę wszystkie dane logowania, bo jest to w większości wypadków jedyne zabezpieczenie stosowane przez osoby z niego korzystające.
Swoje odkrycie pokazał Alex Balan, który jest entuzjastą zajmującym się bezpieczeństwem komputerowym. W celu wykonania ataku wykorzystał on szereg narzędzi (Ettercap, Burp, Backdoor Factory i Metasploit) służących do włamywania i wstrzykiwania złośliwego kodu, a także… platformę Samsung Kies, której system aktualizacyjny okazał się podatny na atak. Od razu zaznaczamy, że nie jest to jedyny program, który można wykorzystać do tego celu. Kies został wybrany tylko dlatego, że w jego przypadku dokonanie ataku okazało się zadaniem najłatwiejszym.
Pierwszym etapem był atak typu man-in-the-middle: okazało się bowiem, że oprogramowanie Samsunga przesyła zapytania dotyczące aktualizacji zwykłym tekstem, bez żadnej walidacji. Poprzez podmianę odpowiedzi z serwera udało się przekonać program, aby pobrał na dysk użytkownika zainfekowane pliki jako nową aktualizację. Przygotowane tego rodzaju pliku było trudnym zadaniem, ponieważ wiele aplikacji antywirusowych jest w stanie wykryć fałszywy kod wstrzyknięty do innych aplikacji, tym bardziej, że są one wyczulone przede wszystkim na dane pobierane z Internetu. Ten najtrudniejszy etap został przez autora nazwany nieco humorystycznie: „Owning the Girl Next Door”.
Wymagało to nieco pracy, ale trud się opłacił: stworzona paczka infekuje komputer bez wszczynania alarmu antywirusowego. Pozwala to na przejęcie kontroli nad komputerem, zdalne sterowania nim i komunikację z zewnętrznymi serwerami. Kolejnym etapem było zdobycie hasła. Tutaj zadanie okazało się znacznie łatwiejsze, niż pierwotnie przypuszczano – wiele osób dla wygody zaznacza w LastPassie opcję przechowywania hasła na komputerze. Co prawda jest ono szyfrowane, ale producent wykorzystał nieco słabą ochronę przy pomocy AES z 256-bitowym kluczem w trybie CBC lub ECB. Atakującemu udało się ustalić, jak działa szyfrowanie, a następnie stworzyć skrypt, który proces ten odwraca. W ten sposób wszedł w posiadanie głównego hasła do sejfu, a co za tym idzie, wszystkich danych logowania zapisanych w nim przez użytkownika.
Twórcy menadżera zostali już poinformowani o problemie, wtyczka ma informować swoich użytkowników, że co prawda opcja zapisywania hasła jest dostępna, ale naraża nas ona na przejęcie danych przez atakujących. Pamiętajmy jednak o tym, że rozwiązania tego typu posiadają także inne podatności i problemy związane z bezpieczeństwem. W lipcu swój raport na ten temat opublikowali naukowcy z Uniwersytetu Kalifornijskiego w Berkeley. Według nich w zasadzie żaden z popularnych, tak darmowych jak i płatnych menadżerów dostępnych do przeglądarek nie jest rozwiązaniem, które można nazwać w pełni bezpiecznym. Korzystanie z nich to tak naprawdę jedynie pewnego rodzaju kompromis.
Jak można ochronić się przed tego typu atakami? Podstawa to oczywiście aktualne oprogramowanie: zarówno system, zainstalowane na nim aplikacje, pakiet ochronny, jak i wtyczka LastPass stosowana w popularnych przeglądarkach. Pod żadnym pozorem nie powinniśmy zapisywać hasła do menadżera lokalnie na komputerze. Ani w formie jawnej, ani poprzez moduł automatycznego zapisywania dostępny w aplikacji. Dla dodatkowej ochrony możemy także włączyć weryfikację dwuetapową, która może nas uratować w sytuacji, gdy mimo wszystko atakujący w jakiś sposób przejmie nasze hasło główne i będzie próbował uzyskać dostęp do innych danych.