En el campo de la seguridad existe solo una constante: el cambio. Conscientes de la evolución permanente de la tecnología, nos esforzamos día a día para ir un paso por delante y proteger su información con las máximas garantías. En los últimos días han aparecido noticias alarmantes, que seguramente habrán generado preocupación entre nuestros usuarios. Ahora intentaremos dar respuesta a sus inquietudes para que la comunidad de LastPass pueda volver a respirar tranquila.
Cloudflare
Resumen: LastPass no utiliza Cloudflare y, por lo tanto, no se ha visto afectado por el incidente de seguridad destapado recientemente.
¿Qué ocurrió? Cloudflare es una empresa de SaaS que ayuda a optimizar la seguridad y el rendimiento de los sitios web. El jueves 23 de febrero alertó a sus clientes sobre una vulnerabilidad en su sistema que acababa de subsanar (y que había detectado el investigador de Google Tavis Ormandy). Esta brecha en la seguridad abría la puerta a la exposición de información confidencial de diferentes tipos, pero podemos confirmar que LastPass no utiliza Cloudflare y, por lo tanto, no se ha visto afectado.
Sin embargo, los usuarios de LastPass pueden tener cuentas en sitios web que sí utilizan Cloudflare. Así pues, si alguno de los servicios que usa aparece en las listas de sitios web afectados, le recomendamos que actualice su contraseña. Aunque el riesgo para estas cuentas es mínimo, mejor prevenir que curar.
El ataque de colisión contra SHA-1
Resumen: Los usuarios de LastPass pueden estar tranquilos porque nuestros hash y nuestro sitio web son seguros. Para la creación de los hash de las contraseñas, LastPass utiliza un sistema de hash iterado con un componente de hash SHA-256 o superior. Los certificados HTTPS usan como mínimo SHA-256 o superior para la función de digest. Tal y como apuntó el equipo de seguridad de Google, SHA-256 es una función de hash criptográfica más segura.
¿Qué ocurrió? El equipo de seguridad de Google anunció recientemente el primer ataque real documentado contra el SHA-1. El SHA-1 (Secure Hash Algorithm 1) es una función de hash que se utiliza desde 1995. Los hash son una función unidireccional (lo que implica inmunidad a la ingeniería inversa) que se utiliza para ocultar y almacenar datos. Representa un paso más que el cifrado. El SHA-1 es un recurso muy habitual para proteger el software y, más concretamente, para evitar la manipulación de las actualizaciones de software y velar por la seguridad de las conexiones entre los sitios web y los clientes que los utilizan. Sin embargo, se sabía que el SHA-1 era vulnerable a ataques teóricos desde como mínimo 2005 y, durante los últimos años, Google ha hecho un llamamiento a los desarrolladores para que dieran el paso de usar otros algoritmos.
El nuevo informe, que salió a la luz el jueves 23 de febrero, demuestra que los investigadores de seguridad consiguieron perpetrar el primer ataque de colisión real contra la función de hash SHA-1. En concreto, se utilizaron dos archivos completamente distintos (en este caso, PDF) para producir una firma SHA-1 idéntica. Y eso no debería poder pasar... La idea es que cada archivo genere su propia firma SHA-1, porque de lo contrario un archivo «falso» podría pasar por un archivo «auténtico» y de confianza.
Como apuntábamos antes, LastPass genera los hash de autenticación con PBKDF2 implementado con SHA-256, no con SHA-1. Asimismo, la conexión del sitio web LastPass.com es también segura, porque nuestro certificado HTTPS utiliza SHA-256, no SHA-1.
También queremos precisar que estamos dejando de usar SHA-1 en otras áreas del producto, como su aplicación para firmar binarios. El riesgo es muy bajo, pero a la luz de este informe sobre colisión hemos acelerado nuestro plan de retirada del SHA-1.
Como siempre, mantendremos informados a nuestros usuarios de cualquier novedad.
Muchas gracias.
El equipo de LastPass
