Dois boletins de segurança: o ataque de colisão SHA-1 e o incidente da Cloudflare

A única certeza no campo da segurança é a mudança. Conforme a tecnologia evolui, nos esforçamos muito para estarmos sempre um passo à frente e garantir que as suas informações estejam seguras. Dois casos recentes podem ter despertado a preocupação de nossa comunidade. Por isso, estamos aqui para dar as respostas que todos os usuários do LastPass precisam saber. Cloudflare Resumo: o LastPass não usa o serviço da Cloudflare e, portanto, não foi afetado pelo recente incidente de segurança da empresa. O que aconteceu: A Cloudflare é uma empresa de SaaS que ajuda a otimizar a segurança e o desempenho de sites. No último dia 23 de fevereiro, a Cloudflare publicou um alerta a seus clientes sobre uma vulnerabilidade recém-corrigida, divulgada por Tavis Ormandy, um pesquisador de segurança do Google. Embora a vulnerabilidade possa ter exposto uma vasta quantidade de informações confidenciais, confirmamos que o LastPass não usa o serviço da Cloudflare e, portanto, não foi afetado. Contudo, os usuários do LastPass podem ter contas em sites que usam os serviços da Cloudflare. Por isso, se algum serviço que você utiliza alegar ter sido afetado, recomendamos a atualização da sua senha. Embora o risco para essas contas seja mínimo, a prevenção é o melhor remédio. Ataque de colisão SHA-1 Resumo: os usuários do LastPass podem ficar tranquilos, pois nossa função de hashing e nosso site estão a salvo. Para criar hashes de senha, o LastPass usa hashing iterativo com pelo menos um componente SHA-256 ou superior. Os certificados HTTPS usam pelo menos um SHA-256 ou superior para a função de resumo (digest). Conforme observado pela equipe de segurança do Google, a função criptográfica SHA-256 é uma função de hashing mais segura. O que aconteceu: A equipe de segurança do Google divulgou recentemente o primeiro ataque prático contra a função SHA-1. A SHA-1 (Secure Hash Algorithm 1) é uma função de hashing criada em 1995. Basicamente, a função de hashing é uma função unidirecional (ou seja, não é passível de engenharia reversa) usada para ocultar e armazenar dados. Ela vai além da criptografia. A SHA-1 é amplamente usada para proteger softwares, prevenir adulteração em atualizações de softwares e garantir a segurança de conexões entre sites e os clientes que os utilizam. No entanto, a SHA-1 também é conhecida por ser vulnerável a ataques teóricos desde, pelo menos, 2005, e, nos últimos anos, o Google tem recomendado que desenvolvedores passem a usar outros algoritmos. O novo relatório, publicado na quinta-feira, dia 23 de fevereiro, mostra como pesquisadores de segurança tiveram sucesso no primeiro ataque de colisão real contra a função de hash SHA-1. Dois arquivos completamente diferentes (no caso, PDFs) foram usados para produzir a mesma assinatura de SHA-1. Isso é algo que não deveria acontecer. Cada arquivo deve produzir sua própria assinatura SHA-1; caso contrário, um arquivo “falso” poderia passar como “verdadeiro” e confiável. Conforme mencionamos acima, o LastPass gera hashes de autenticação com PBKDF2 com SHA-256, e não SHA-1. A conexão com nosso site, LastPass.com, também é segura, já que nosso certificado HTTPS utiliza SHA-256, e não SHA-1. Para garantir, estamos eliminando o uso da função SHA-1 em outras áreas do produto, como na assinatura dos arquivos binários. Embora o risco seja muito baixo, estamos acelerando nosso plano de eliminar a função SHA-1 visto o conteúdo deste relato de colisão. Como sempre, tomaremos todas as providências para manter nossa comunidade informada acerca de eventuais novidades. Atenciosamente, A Equipe LastPass