En matière de sécurité, le changement est la seule constante. Alors que les technologies évoluent, nous nous efforçons de garder une longueur d'avance et de sécuriser vos informations. Deux récentes révélations peuvent potentiellement inquiéter notre communauté, et nous sommes donc là pour répondre à vos questions et vous informer sur ce que vous devez savoir en tant qu'utilisateurs de LastPass.
Cloudflare
Synthèse : LastPass n'utilise pas Cloudflare et n'est pas affecté par l'incident de sécurité récent.
Ce qu'il s'est passé : Cloudflare est une société de logiciel-service qui aide à optimiser la sécurité et les performances des sites web. Le jeudi 23 février, la société a informé ses clients qu'elle avait récemment corrigé une vulnérabilité (révélée par le chercheur Tavis Ormandy de Google). Bien que cette vulnérabilité ait pu exposer tout un éventail d'informations sensibles, nous pouvons confirmer que LastPass n'utilise pas Cloudflare et n'est pas affecté.
Cependant, les utilisateurs de LastPass ont potentiellement des comptes sur des sites qui utilisent Cloudflare. Par conséquent, si vous utilisez des services qui ont révélé avoir été touchés, nous vous conseillons de mettre à jour votre mot de passe. Bien que le risque associé à ces comptes est faible, mieux vaut être prudent.
Attaque par collision SHA-1
Synthèse : Les utilisateurs de LastPass peuvent se sentir rassurés sachant que notre hachage et notre site sont sûrs. Pour la création des hachages de mots de passe, LastPass utilise un hachage itératif avec un composant SHA-256 ou supérieur. Les certificats HTTPS utilisent SHA-256 ou supérieur pour l'empreinte. Comme le remarque l'équipe de sécurité de Google, SHA-256 est une fonction de hachage cryptographique plus sûre.
Ce qu'il s'est passé : L'équipe de sécurité de Google a récemment révélé la première attaque concrète contre SHA-1. SHA-1 (Secure Hash Algorithm 1) est une fonction de hachage qui date de 1995. Le hachage est tout simplement une fonction unidirectionnelle (qui ne peut pas être inversée par rétro-ingénierie) qui sert à masquer et stocker des données. Il va plus loin que le simple chiffrement de données. SHA-1 est utilisé à grande échelle pour sécuriser les logiciels, afin d'éviter la falsification de mises à jour logicielles, et d'assurer la sécurité des connexions entre les sites web et leurs utilisateurs. Toutefois, la vulnérabilité théorique de SHA-1 est connue depuis au moins 2005, et cela fait quelques années que Google appelle les développeurs à basculer vers d'autres algorithmes.
Le nouveau rapport sorti le jeudi 23 février décrit la manière dont des chercheurs en sécurité ont mené la première attaque concrète par collision contre la fonction de hachage SHA-1. En effet, deux fichiers totalement différents (ici, des fichiers PDF) ont été utilisés pour produire la même signature SHA-1. Ce n'est pas censé être possible, puisque chaque fichier est censé produire sa propre signature SHA-1, empêchant qu'un fichier « contrefait » puisse se faire passer pour un fichier de confiance.
Comme nous l'indiquions plus haut, LastPass génère des hachages d'authentification avec PBKDF2 qui utilise SHA-256 au lieu de SHA-1. Les connexions à notre site web LastPass.com sont également sûres, puisque notre certificat HTTPS utilise également SHA-256 au lieu de SHA-1.
Par souci d'exhaustivité, nous supprimons l'utilisation de SHA-1 dans d'autres aspects du produit, comme la signature des fichiers binaires. Le risque à ce niveau est très faible, mais nous allons accélérer nos efforts de suppression de SHA-1 à la lumière de ce rapport de collision.
Comme toujours, nous informerons notre communauté en cas de nouveaux développements.
Merci,
L'équipe LastPass
