LastPass bugün müşterilere, hesaplarının güvenliğini artırmak için en az 12 karakter ile karmaşık ana şifreleri kullanmaları gerektiğini bildirdi.
LastPass, 2018'den bu yana 12 karakterli bir ana şifre gereksinimi olduğunu defalarca söylemiş olsa da, kullanıcılar daha zayıf bir tane kullanma yeteneğine sahipti.
"Tarihsel olarak, 12 karakterli bir ana şifre 2018'den bu yana LastPass'ın varsayılan ayarı olsa da, müşteriler hala önerilen varsayılan ayarlardan vazgeçme ve bunu yapmak istedikleri takdirde daha az karakterle bir ana şifre oluşturmayı seçme yeteneğine sahipti." dedi bugün yeni bir duyuruda.
LastPass, yeni hesaplar veya şifre sıfırlamaları için Nisan 2023'ten bu yana 12 karakterli bir ana şifre gereksinimini uygulamaya başladı, ancak eski hesaplar yine de 12 karakterden daha az olan şifreleri kullanabilir. Bu aydan itibaren LastPass şimdi tüm hesaplar için 12 karakterli ana şifre gereksinimini zorluyor.
Ayrıca, LastPass, daha önce uzlaşmış hesaplarla eşleşmediklerinden emin olmak için daha önce karanlık web'de sızdırılan kimlik bilgilerinin bir veritabanına karşı yeni veya güncellenmiş ana şifreleri kontrol etmeye başlayacağını da sözlerine ekledi.
Bir eşleşme bulunursa, müşteriler bir güvenlik uyarı açılır penceresi ile uyarılır ve gelecekteki çatlama girişimlerini engellemek için başka bir şifre seçmeniz istenir.
Hesap güvenliğini artırmak için aynı çabanın bir parçası olarak LastPass, Mayıs 2023'te zorla çok faktörlü kimlik doğrulama (MFA) yeniden kayıt süreci başlattı, bu da birçok kullanıcının önemli giriş sorunları yaşayan ve hesaplarından kilitlenmesine yol açtı.
LastPass'ın üst düzey istihbarat analisti olan Mike Kosak, "Bu değişiklikler, müşterilerin önerilen en iyi uygulamaları karşılamak için ana şifre uzunluğunu ve karmaşıklıklarını güncellemelerini ve müşterilerin çok faktörlü kimlik doğrulamalarını (MFA) yeniden kaydetmelerini istemektir." Dedi. .
"Ocak 2024'ten itibaren LastPass, tüm müşterilerin en az 12 karakterli bir ana şifre kullanması gerekliliğini uygulayacak.
"Gelecek ay, LastPass, şifrenin daha önce karanlık web'de maruz bırakılmamasını sağlamak için bilinen ihlal edilen kimlik bilgilerinin bir veritabanına karşı yeni veya ana şifreleri sıfırlamaya başlayacak."
LastPass, BleepingComputer'a B2C müşterilerinin bugün bu değişiklikler hakkında e -posta almaya başlayacağını ve B2B müşterilerinin 10 Ocak'ta bunları aldığını söyledi.
Bu önlemler, Ağustos 2022 ve Kasım 2022'de açıklanan iki güvenlik ihlalinin doğrudan sonucudur.
Ağustos ayında şirket, saldırganların bir yazılım mühendisinin kurumsal dizüstü bilgisayarına hacklenmesinden sonra geliştirici ortamının tehlikeye atılmış bir geliştirici hesabı aracılığıyla ihlal edildiğini doğruladı. İhlal sırasında kaynak kodu, teknik bilgiler ve bazı LastPass dahili sistem sırlarını çaldılar.
Bu olayda çalınan bilgiler daha sonra, bir KeyLogger yüklemek için bir uzak kod yürütme güvenlik açığı kullanarak kıdemli bir DevOps mühendisinin bilgisayarından ödün verdikten sonra şifreli Amazon S3 kovalarından müşteri kasası verilerini de çaldıkları Aralık ayında tehdit aktörleri tarafından kullanıldı.
Ekim 2023'te, bilgisayar korsanları, LastPass '2022 ihlallerinde çalınan LastPass veritabanlarından çıkarabilecekleri özel anahtarlar ve parolalar kullanarak 25'den fazla kurbandan 4.4 milyon dolarlık kripto para birimi çaldı.
Metamask geliştiricisi Taylor Monahan ve Zachxbt tarafından yapılan araştırmalara göre, tehdit aktörlerinin artık şifreye erişmek için Stolen LastPass ana şifrelerini kırdığına inanılıyor.
Bu erişimi kullanarak, tehdit aktörleri kripto para birimi cüzdan parolaları, kimlik bilgileri ve özel anahtarlar arar ve bunları tüm fonlardan boşaltmak için cüzdanları kendi cihazlarına yüklemek için kullanırlar.
LastPass, şifre yönetimi çözümünün artık dünya çapında 33 milyondan fazla kişi ve 100.000 işletme tarafından kullanıldığını söylüyor.
CISA, teknoloji üreticilerini varsayılan şifreleri kullanmayı bırakmaya çağırıyor
Google Chrome artık arka planda uzlaşmış şifreler için tarıyor
2023 Şifre Saldırıları: Öğrenilen Dersler ve Sonraki Adımlar
FBI: Eleştirel Orgs dahil olmak üzere 300 kurbanı ihlal eden fidye yazılımı
3CX müşterileri SQL veritabanı entegrasyonlarını devre dışı bırakmaları konusunda uyarıyor
Kaynak: Bleeping Computer