LastPass用户：您的信息和密码库数据现已被黑客掌握（nopass怎么登）_推特

领跑公钥命令行众所周知LastPass近日则表示，骇客已经夺回关于使用者的大量个人隐私，主要包括以加密及加密基元方式留存在顾客保险箱中的公钥和其它统计数据。

上周五公布的新最新消息，也代表着最初于今年8月公布的LastPass安全漏洞该事件迎来重大预览。彼时，该子公司则表示蓄意骇客透过某一受病毒感染的开发人员帐户，获得了对部份产品设计自然环境的未许可出访，领到了“部份源码和LastPass的一些私有控制技术重要信息”。该子公司彼时则表示，顾客的主密码、加密公钥、个人隐私和储存在帐户内的其它统计数据仍未受到影响。

已加密和未加密敏感统计数据未遭拷贝

在上周五的预览中，该子公司则表示骇客出访到个人隐私和有关元统计数据，主要包括注册商标、最终使用者名称、帐单门牌号、电子邮件门牌号、号码和顾客用于出访LastPass服务项目的IP门牌号。骇客还拷贝了顾客保险箱的统计备份，当中包含中文网站URL等未加密统计数据，以及中文网站使用者名/公钥、安全可靠注解和配置文件统计数据等加密表头。

LastPass子公司CEO Karim Toubba写到：“这些加密表头透过256位AES加密保障安全可靠，根据我们的零科学知识构架，其只能由每人使用者的主公钥所衍生的唯一加密公钥展开NSA。”这无疑是在强调该子公司所采用的强大高级加密方案，而所谓零科学知识是指服务项目供应商自己也难以对储存文本展开NSA。这位CEO还进一步补充道：

“提醒大家，LastPass永远难以知悉主公钥文本，主公钥也不能由LastPass展开储存或维护。统计数据的加密和NSA仅在邻近地区LastPass顾客端上执行。”

此次预览提到，在截至目前的调查之中，该子公司仍未发现有未加密的网银统计数据遭到出访的迹象。LastPass不能储存完整的网银统计数据，而且网银有关重要信息被留存在与蓄意黑客所出访的云储存自然环境不同的其它自然环境之中。

8月的公布最新消息还指出，骇客盗取LastPass源码和私有控制技术重要信息所采取的方法，似乎与twilio遭遇的另一起侵略有关。Twilio是一家公司总部位于美国纽约的双因素加密与通信服务项目供应商。在Twilio侵略该事件中，骇客盗取到163位顾客的统计数据。反击Twilio的网络钓分子还至少侵略了其它136家企业，LastPass正是当中众所周知。

周二的预览称，蓄意骇客可能是使用从LastPass处盗取到的源码和控制技术重要信息对该位LastPass雇员发动先期反击，借以以获取了安全可靠凭据和公钥，从而出访并NSA了该子公司存放在云储存服务项目中的储存卷。

Toubba解释道：“到目前为止，我们已经确定只要获得云储存出访公钥和双储存容器NSA公钥，骇客就能从备份中拷贝重要信息，主要包括顾客帐户基础重要信息和有关元统计数据，例如注册商标、最终使用者名称、帐单门牌号、电子邮件门牌号、号码以及顾客出访LastPass服务项目的IP门牌号。骇客还能从加密储存容器中拷贝顾客保险箱统计数据的备份。此备份以私有的二进制格式储存，当中包含中文网站URL等未加密统计数据，以及中文网站使用者名-公钥、安全可靠注解和配置文件统计数据等经过完全加密的敏感表头。”

LastPass子公司的代表仍未回应有多少顾客的统计数据遭到骇客拷贝。

立刻马上加强安全可靠保障

周二的预览还列出了LastPass在统计数据泄露之后，为了增强安全可靠性而采取的几项补救措施。具体主要包括停用被骇客盗取的开发代码、从零开始重建，保留托管端点检测和响应服务项目，以及轮换掉所有可能受到影响的凭据与证书。

鉴于LastPass储存的统计数据颇为敏感，如此广泛的个人统计数据落入骇客手中自然令人担忧。同样值得关注的是，使用者保险箱现在也已经被骇客所夺回。虽然破解加密基元值需要大量资源，但当中仍存在理论可行性。对于精心谋划此次反击的骇客来说，破解统计数据文本恐怕只是意愿问题。

因此，LastPass顾客应变更主公钥和储存在保险箱内的所有密码，同时修改LastPass的默认设置。默认设置使用基于公钥的公钥衍生函数（PBKDF2）展开100100次迭代，由此对储存的公钥执行基元处理。这种基元方法能够保证唯一且随机生成的长主公钥难以被破解。但需要注意的是，100100次迭代这一数量远低于OWASP提出的建议次数。OWASP建议LastPass将PBKDF2与SHA256基元算法配合使用，并将迭代阈值提升至310000次。