LastPass LOG Tasarım
En popüler parola yöneticileri arasında yer alan LastPass, bu yılı pek iyi geçirmedi ve halen olumsuz detaylar ile gündeme geliyor.
Bir parola yöneticisi kullanmak hayatınızı çok rahatlatıyor ve bu konuda en iyi çözümlerin başında 1Password ve LastPass geliyor. Kredi kartı bilgileri, parolalar ve fazlası çok önemli bilgiyi emanet ettiğimiz bu servisler, bu veriler nedeniyle kötü niyetli kişilerin iştahını kabartıyor. Çünkü bu servislerde saklanan içerikler gerçekten çok değerli ve ele geçirilmeleri halinde inanılmaz yüksek paralara satılacak yapıdalar. Bu yüzden sürekli olarak hedef alan parola yöneticileri, güçlü koruma yöntemlerine rağmen zaman zaman ciddi sorunlar yaşayabiliyor.
Bu sorunlardan birisi en son ağustos ayında gündeme gelmişti. Bu konuda daha sonra bir açıklama yapan LastPass, hacker’ların ağustos ayında sistemlerine dört gün boyunca erişim sağladığını tespit ettiklerini söylemişti. Bu konuda siber güvenlik firması Mandiant ile ortak çalışmalar yürüten şirket, sevindirici şekilde parola gibi önemli kullanıcı verilerinin ele geçirilmediğini açıklamıştı.
Hacker’lar o zaman söylendiği kadarıyla LastPass’ın sistemlerine erişim sağladıkları dört gün boyunca sadece bazı kaynak kodlarına ve teknik bilgiye ulaşım sağladı. Kısa süre önce gelen bilgiye göreyse firma bunun üstüne bir siber saldırıya daha uğradı ve bu saldırı ağustos ayında ele geçirilen bazı kaynak kodları üzerinden yapıldı.
Konu hakkında bir açıklama yapan şirket CEO’su Karim Toubba, hacker’ların şirket tarafından kullanılan üçüncü parti bir bulut depolama hizmetine erişim sağladığını ve buradan müşterilerin bilgilerinin belirli kısımlarını ele geçirdiklerini aktarmıştı. O zaman yeni sızıntıda daha parola gizliliği bozulmadı yani hacker’lar kayıtlı parolalara erişim sağlayamadı bilgisi verilmişti. Ancak bu saldırı göründüğünde daha kötü çıktı.
Bugün gelen bilgilere göre son saldırıda hacker’lar bazı kullanıcıların “şifrelenmiş” parola verilerine ve diğer kişisel bilgilere ulaştı. Burada “şifrelenmiş” kısmı önemli çünkü sızdırılan parolalar ve diğer verilere bakılabilmesi için şifrelemenin kırılması gerekiyor. Parolalar firmanın açıklamasına göre 256-bit AES şifreleme ile korunuyor ve ancak her kullanıcının ana parolasından türetilen benzersiz bir şifreleme anahtarı ile çözülebiliyor. “Ana parola LastPass tarafından asla bilinmez, saklanmaz veya korunmaz.” diyen Karim Toubba, bu açıdan ortada büyük bir risk olmadığını söylüyor ancak elbette şifrelerin kırılamayacağını kimse garanti etmiyor.
33 milyondan fazla kullanıcıya sahip olan firma, 2015 yılında hack’lenmiş ve o zaman kullanıcıların e-posta adresleri, kimlik doğrulama verileri, parola hatırlatıcıları ve diğer bazı bilgileri kötü niyetli kişilerin eline geçmişti. Son saldırı sonrasında yaşananlar nedeniyle kullanıcılara LastPass içerisinde kaydettikleri parolaları tek tek değiştirmesi ve artık başka bir parola yöneticisi kullanması tavsiye ediliyor.