Het enige wat hetzelfde blijft in de beveiligingsindustrie: constante verandering. Technologie ontwikkelt zich continu en we werken er hard aan om alle veranderingen steeds één stap voor te blijven en zo uw informatie te beveiligen. De laatste tijd zijn er twee verhalen aan het licht gekomen waar veel mensen in onze community zich misschien zorgen over maken. Daarom proberen we hier de vragen te beantwoorden over wat u als gebruiker van LastPass zou moeten weten.
Cloudflare
Kort samengevat: LastPass maakt geen gebruik van Cloudflare. Hun recente beveiligingsincident heeft dan ook geen gevolgen voor ons.
Wat is er gebeurd? Cloudflare is een SaaS-leverancier, die zijn klanten helpt om de beveiliging en prestaties van websites te optimaliseren. Op donderdag 23 februari waarschuwde het bedrijf zijn klanten over een recent gerepareerde kwetsbaarheid (ontdekt door Tavis Ormandy, een onderzoeker van Google). Deze kwetsbaarheid heeft mogelijk gevoelige informatie blootgesteld aan kwaadwillenden. LastPass maakt echter geen gebruik van Cloudflare. Hun recente beveiligingsincident heeft dan ook geen gevolgen voor ons.
Gebruikers van LastPass kunnen echter accounts hebben op websites die wel met Cloudflare werken. Daarom bevelen we u aan om uw wachtwoorden te vervangen, als een dienst die u gebruikt heeft aangegeven dat deze kwetsbaarheid hiervoor relevant is. Hoewel het risico voor deze accounts minimaal is, kunt u beter op zeker spelen.
De SHA-1 collision-aanval
Kort samengevat: gebruikers van LastPass kunnen gerust zijn, onze hashing en onze website zijn veilig. LastPass gebruikt iteratieve hashing om wachtwoord-hashes te maken, met minimaal SHA-256 of een betere hashing-component. HTTPS-certificaten maken gebruik van SHA-256 of beter voor de verwerking. Zoals het beveiligingsteam van Google opmerkt, is SHA-256 een veiligere functie voor versleutelings-hashes.
Wat is er gebeurd? Het beveiligingsteam van Google maakte kortgeleden bekend dat de eerste bekende praktische aanval tegen SHA-1 heeft plaatsgevonden. SHA-1 (Secure Hash Algorithm 1) is een hashing-functie die teruggaat tot 1995. Hashing is eenvoudigweg een onherroepelijke functie (waarvoor reverse-engineering dus onmogelijk is) die wordt gebruikt om gegevens te verbergen en op te slaan. Het gaat een stap verder dan encryptie. SHA-1 wordt veel gebruikt om software te beveiligen, om te voorkomen dat er wordt geknoeid met software-updates en om veilige verbindingen op te zetten tussen websites en gebruikers. Het is echter ook al sinds 2005 bekend dat SHA-1 kwetsbaar is voor theoretische aanvallen. De laatste jaren heeft Google ontwikkelaars dan ook opgeroepen om op andere algoritmen over te stappen.
In het nieuwe rapport van donderdag 23 februari wordt duidelijk hoe beveiligingsonderzoekers geslaagd zijn in de eerste echte collision-aanval tegen de hashfunctie van SHA-1. Dit betekent dat twee compleet verschillende bestanden (in dit geval PDF's) zijn gebruikt om hetzelfde SHA-1-kenmerk aan te maken (vandaar de naam collision: de kenmerken “botsen”). Dat zou niet mogelijk moeten zijn. Ieder bestand dient zijn eigen unieke SHA-1-kenmerk aan te maken. Anders kan een nepbestand worden aangezien voor het oorspronkelijke vertrouwde bestand.
Zoals hierboven aangegeven maakt LastPass voor zijn hashing gebruik van PBKDF2 met SHA-256, geen SHA-1. Onze websiteverbinding via LastPass.com is ook veilig. Ons HTTPS-certificaat gebruikt SHA-256 en geen SHA-1.
Voor de zekerheid waren we er al mee bezig om het gebruik van SHA-1 ook in andere onderdelen van ons product af te bouwen, waardoor we het binnenkort ook niet meer gebruiken om de binaries te ondertekenen. Het risico is daarbij erg laag. Met het oog op dit rapport bouwen we het gebruik van SHA-1 echter versneld af.
Zoals altijd houden we onze community op de hoogte van alle nieuwe ontwikkelingen.
Met vriendelijke groet,
Het team van LastPass
