LastPass şifre yöneticisi kullanıcıları, kimlik doğrulayıcı uygulamalarını sıfırlamaları istendikten sonra Mayıs ayının başından itibaren önemli giriş sorunları yaşıyorlar.
Şirket ilk olarak kullanıcıların LastPass hesaplarına geri dönmeleri ve 9 Mayıs'ta planlanan güvenlik yükseltmeleri nedeniyle çok faktörlü kimlik doğrulama tercihlerini sıfırlamaları gerekebileceğini açıkladı.
Ancak, o zamandan beri, MFA uygulamalarını (örneğin, LastPass Authenticator, Microsoft Authenticator, Google Authenticator) başarıyla sıfırladıktan sonra bile çok sayıda kullanıcı hesaplarından kilitlendi ve LastPass kasalarına erişemedi.
Sorunu birleştirerek, etkilenen müşteriler destekten yardım alamazlar, çünkü LastPass desteğine ulaşmak, yapamayacakları hesaplarına giriş yapmayı gerektirir, çünkü MFA kimlik doğrulayıcısını sıfırlamaları istenen sonsuz bir döngüde kilitlenirler.
Bir kullanıcı, "MFA'nın zorla yeniden senkronizasyonu şimdi giriş yapmamı engelliyor çünkü LastPass yeni MFA kodunu tanımıyor." Dedi.
"MFA'mı sıfırladıktan sonra tonozuma erişimi tamamen kaybettim. Masterpw çalışmıyor ve sıfırlanmıyor ve sıfırlama e -postası bana asla teslim edilmiyor. Bir giriş olarak 'premium' desteğimle iletişime geçemiyor."
"Master şifresini yeniden girmem istendi, sonra başarılı bir şekilde yaptığım MFA'yı güncellemek zorunda kaldım ve şimdi hiç giriş yapamıyorum. Bir destek bileti bile açamıyorum çünkü yapmak için giriş yapmanız gerekiyor Yani, "dedi bir kullanıcı, LastPass topluluğu web sitesinde yardım istedi.
LastPass, MFA sıfırlamalarının ilk duyurudan önce "birkaç hafta" için uygulama içi mesajlarla duyurulduğunu söyledi.
Bu, LastPass'ı, güvenlik yükseltmeleri hakkında, parola yinelemelerini yeni varsayılan 600.000 mermi artırmak için yapıldığını açıklayan çeşitli tavsiyelerde bulundu.
Etkilenen kullanıcılara gönderilen bir LastPass destek bülteninin "Ana şifrenizin güvenliğini artırmak için LastPass, şifre tabanlı anahtar türev işlevinin (PBKDF2) türden daha güçlü bir sürümünü kullanıyor."
"PBKDF2, bir bilgisayarın uzlaşmacı bir saldırı sırasında herhangi bir 1 şifrenin doğru ana şifre olduğunu kontrol etmesini zorlaştıran bir 'şifre güçlendirme algoritması'."
Şirket, "Müşterinin tüm şifre yinelemelerini artırdıkça zorla oturum açma + MFA yeniden sinycil olayları gerçekleşiyor. Bu, LastPass kasanızın şifrelemesiyle ilgili."
Başka bir danışmanlıkta şirket, kullanıcıların LastPass'a giriş yaparken güvenlikleri için çok faktörlü kimlik doğrulamasında yeniden kayıt yaptırmaları istendiğini söylüyor.
"Mobil cihazınızdaki LastPass'a tekrar erişebilmeniz için tarayıcınızdaki LastPass web sitesinde oturum açmalı ve MFA uygulamanızı yeniden kapatmalısınız. LastPass tarayıcı uzantısını veya LastPass şifre yöneticisi uygulamasını kullanarak yeniden kayıt yaptıramazsınız" açıklıyor.
LastPass ve Authenticator uygulaması (LastPass Authenticator, Microsoft Authenticator veya Google Authenticator) arasındaki eşleştirmeyi sıfırlamak için gereken ayrıntılı prosedür, bu destek belgesinde ayrıntılı olarak açıklanmaktadır.
Bir dahaki sefere LastPass kullanarak bir web sitesine veya bir uygulamaya giriş yaptığınızda, konumunuzu doğrulamanız istenecektir. Bir web sitesine veya LastPass'a giriş yapmak için kullandığınız bir uygulamaya giriş yaptığınızda, kimlik bilgilerinizi tekrar girmeli ve kimlik doğrulama uygulamanızı kullanarak kimlik doğrulamanız gerekir.
Ayrıca, ek bir güvenlik ölçüsü olarak LastPass kullanarak bir dahaki sefere bir web sitesine veya uygulamaya oturum açtıklarında konumlarını doğrulamaları istenecektir.
Aynı sürecin bir parçası olarak, kullanıcıların giriş bilgilerini tekrar girmeleri ve kimlik doğrulayıcı uygulamalarını kullanarak kendilerini tekrar doğrulamaları istenecektir.
"2022 olaylarını takiben, müşteri tabanımıza e-posta ve ürün içi iletişim gönderdik, MFA sırlarını tercih ettikleri Authenticator uygulamasıyla bir önlem olarak sıfırlamalarını önerdik. Bu öneri, B2C'imize gönderdiğimiz güvenlik bültenlerine de dahil edildi. Bir LastPass sözcüsü BleepingComputer'a verdiği demeçte.
"Bununla birlikte, müşterilerimizin bir alt kümesi hala bu eylemi gerçekleştirmedi, bu yüzden LastPass'a bir sonraki girişlerinde harekete geçmelerini istiyoruz. E -postalarımızdan daha büyük bir yanıt alın. "
Bu sorunlar, LastPass'ın Aralık 2022'de tehdit aktörlerinin kısmen şifreli müşteri bilgileri ve şifre kasası verilerini çaldıktan sonra Aralık 2022'de bir güvenlik ihlali açıkladıktan sonra geliyor.
Aralık ayı ihlali, Ağustos 2022'den itibaren başka bir ihlalden kaynaklandı ve saldırganlar, ilk ihlalden çalınan verileri kullanarak şirketin şifreli Amazon S3 kovalarına erişti.
Google Authenticator artık 2FA kodlarınızı buluta yedekliyor
Kaynak: Bleeping Computer