LastPass foi hackado e pede aos utilizadores que mudem as suas passwords

A velha questão de centralizar todas as nossas passwords num único serviço volta a ser posta em causa, com um novo hack ao LastPass que conseguiu obter os emails dos utilizadores e hashes da sua autenticação, entre outros dados.

Antes que entrem em pânico, convém referir que este ataque não significa que os hackers têm acesso a todas as vossas passwords - e na verdade, é muito pouco provável que o venham a ter. Foi o próprio LastPass que noticiou o incidente, dizendo que embora não haja elementos que indiquem que os atacantes tenham acedido aos dados encriptados dos utilizadores, os mesmos conseguiram obter os seus emails, lembretes das passwords, os "salts" de cada utilizados guardados no servidor e o "hash" da sua autenticação (se não estão a par do que que é o hash e salt nós damos uma ajuda.)

O que isto significa é que os atacantes ganharam acesso a ajudas valiosas para os ajudar a crackar as contas dos utilizadores (se entretanto não mudarem de passwords)... mas ainda assim, volta a ser necessário frisar que o risco está bastante minimizado pela forma como o LastPass gere esta questão crítica para a segurança dos dados dos seus clientes.

Já falamos de sistema de "crackanço" de passwords que usam GPUs para acelerar astronomicamente os cálculos, de forma a testarem centenas de milhões de passwords por segundo, e podendo crackar passwords complexas dentro de um prazo de tempo aceitável. Mas o LastPass está consciente disso, e portanto usa uma técnica (altamente recomendada) em que em vez de um único processo de cálculo da hash, o mesmo é feito repetidamente 100 mil vezes(!) a que se acrescem mais algumas milhares de vezes do lado do utilizador (por norma mais 5000 vezes, mas que é configurável pelo utilizador e podem ser mais 50 ou 60 mil).

Isto faz com que mesmo um GPU potente, como uma Nvidia GTX Titant X, consiga calcular menos de 10 tentativas por segundo, o que inviabiliza um ataque "brute-force" numa password segura e com dimensão adequada (se um utilizador se decidiu a usar o LastPass, é de imaginar que terá tido essa preocupação).


O que isto serve para relembrar é que é inevitável que este tipo de situações aconteça, e que por isso importa implementar técnicas que minimizem os riscos quando tal acontece. De qualquer forma, é recomendável que troquem a password do LastPass, e o serviço também activou sistemas de segurança adicional, em que qualquer tentativa de login feita a partir de um IP desconhecido necessitará de um passo adicional verificado através de um email enviado para o utilizador legítimo.