La derni\u00e8re faille annonc\u00e9e par LastPass est une source majeure d’inqui\u00e9tude pour les acteurs de la s\u00e9curit\u00e9. Comme cela arrive souvent, nous sommes dans un vide s\u00e9curitaire – d’une part, comme l’a not\u00e9 LastPass, les utilisateurs qui suivraient les meilleures pratiques de LastPass seraient expos\u00e9s \u00e0 un risque pratiquement nul \u00e0 extr\u00eamement faible. Cependant, dire que les meilleures pratiques en mati\u00e8re de mots de passe ne sont pas suivies est un euph\u00e9misme. La r\u00e9alit\u00e9 est qu’il existe tr\u00e8s peu d’organisations dans lesquelles ces pratiques sont r\u00e9ellement appliqu\u00e9es. Cela place les \u00e9quipes de s\u00e9curit\u00e9 dans la pire position, o\u00f9 l’exposition \u00e0 la compromission est presque certaine, mais il est presque impossible d’identifier les utilisateurs qui ont cr\u00e9\u00e9 cette exposition. <\/p>\n
Pour les aider tout au long de cette p\u00e9riode difficile, la solution de s\u00e9curit\u00e9 des navigateurs LayerX a lanc\u00e9 une offre gratuite de sa plate-forme, permettant aux \u00e9quipes de s\u00e9curit\u00e9 d’avoir une visibilit\u00e9 sur tous les navigateurs sur lesquels l’extension LastPass est install\u00e9e et d’att\u00e9nuer les impacts potentiels de la violation LastPass sur leurs environnements en informer les utilisateurs vuln\u00e9rables et leur demander de mettre en \u0153uvre l’authentification MFA sur leurs comptes et, si n\u00e9cessaire, de d\u00e9ployer une proc\u00e9dure de r\u00e9initialisation du mot de passe principal d\u00e9di\u00e9e pour \u00e9liminer la capacit\u00e9 des adversaires \u00e0 exploiter un mot de passe principal compromis pour un acc\u00e8s malveillant (Pour demander l’acc\u00e8s \u00e0 l’outil gratuit, remplissez ce formulaire<\/a>)<\/p>\n Par LastPass site Internet<\/a>“L’auteur de la menace a \u00e9galement pu copier une sauvegarde des donn\u00e9es du coffre-fort client \u00e0 partir du conteneur de stockage crypt\u00e9 qui est stock\u00e9 dans un format binaire propri\u00e9taire contenant \u00e0 la fois des donn\u00e9es non crypt\u00e9es, telles que des URL de sites Web, ainsi que des champs sensibles enti\u00e8rement crypt\u00e9s tels que noms d’utilisateur et mots de passe de site Web, notes s\u00e9curis\u00e9es et donn\u00e9es remplies par formulaire.<\/p>\n Le risque d\u00e9riv\u00e9 est que “l’acteur de la menace peut tenter d’utiliser la force brute pour deviner votre mot de passe principal et d\u00e9chiffrer les copies des donn\u00e9es du coffre-fort qu’il a prises”. En raison des m\u00e9thodes de hachage et de cryptage que nous utilisons pour prot\u00e9ger nos clients, il serait extr\u00eamement difficile de tenter de deviner par force brute des mots de passe principaux pour les clients qui suivent nos meilleures pratiques en mati\u00e8re de mot de passe.<\/p>\n La derni\u00e8re section sur les \u00ab meilleures pratiques \u00bb est la plus alarmante. Meilleures pratiques de mot de passe\u00a0? Combien de personnes maintiennent les meilleures pratiques en mati\u00e8re de mot de passe\u00a0? La r\u00e9ponse r\u00e9aliste \u2013 mais malheureuse \u2013 est : pas beaucoup. Cela est vrai m\u00eame dans le contexte d’applications g\u00e9r\u00e9es par l’entreprise. En ce qui concerne les applications personnelles, il n’est pas exag\u00e9r\u00e9 de supposer que la r\u00e9utilisation des mots de passe est la norme plut\u00f4t que la valeur aberrante. Le risque introduit par la violation de LastPass s’applique aux deux cas d’utilisation. Comprenons pourquoi.<\/p>\n Divisons les organisations en deux types\u00a0:<\/p>\n Type A:<\/strong> Organisations o\u00f9 LastPass est utilis\u00e9 dans le cadre de la politique de l’entreprise pour la sauvegarde des mots de passe pour acc\u00e9der aux applications g\u00e9r\u00e9es par l’entreprise, que ce soit pour tous les utilisateurs ou dans des services sp\u00e9cifiques. Dans ce cas, le probl\u00e8me est simple : un adversaire qui parvient \u00e0 d\u00e9chiffrer ou \u00e0 obtenir le mot de passe principal LastPass d’un employ\u00e9 pourrait facilement acc\u00e9der aux ressources sensibles de l’entreprise.<\/p>\n Type\u00a0B\u00a0:<\/strong> Organisations o\u00f9 LastPass est utilis\u00e9 ind\u00e9pendamment par les employ\u00e9s (que ce soit pour un usage personnel ou professionnel) ou par des groupes sp\u00e9cifiques de l’organisation, sans connaissances informatiques, pour les applications de leur choix. Dans ce cas, le probl\u00e8me est qu’un adversaire qui parvient \u00e0 d\u00e9chiffrer ou \u00e0 obtenir le mot de passe principal LastPass d’un employ\u00e9 profite de la tendance des utilisateurs \u00e0 r\u00e9utiliser les mots de passe et, apr\u00e8s avoir compromis les mots de passe dans le coffre-fort, en trouve un qui est \u00e9galement utilis\u00e9 pour acc\u00e9der applications d’entreprise. <\/p>\n Qu’une organisation appartienne au type A ou B, le risque est clair. Ce qui intensifie le d\u00e9fi pour le RSSI dans cette situation est que s’il existe une forte probabilit\u00e9 – pour ne pas dire une certitude – qu’il y ait des employ\u00e9s dans son environnement dont les comptes d’utilisateurs sont susceptibles d’\u00eatre compromis, le RSSI a une capacit\u00e9 tr\u00e8s limit\u00e9e \u00e0 savoir qui ces employ\u00e9s sont, et encore moins prennent les mesures n\u00e9cessaires pour att\u00e9nuer le risque qu’ils imposent.<\/p>\n LayerX a publi\u00e9 un outil gratuit qui aide les \u00e9quipes de s\u00e9curit\u00e9 \u00e0 comprendre l’exposition de leur organisation \u00e0 la violation LastPass, cartographie tous les utilisateurs et applications vuln\u00e9rables et applique des mesures de s\u00e9curit\u00e9.<\/p>\n L’outil de LayerX est fourni en tant qu’extension d’entreprise au navigateur que vos employ\u00e9s utilisent et offre donc une visibilit\u00e9 imm\u00e9diate sur toutes les extensions de navigateur et les activit\u00e9s de navigation de chaque utilisateur. Cela permet aux RSSI d’obtenir les avantages suivants\u00a0:<\/p>\n Pour acc\u00e9der \u00e0 l’outil gratuit, remplissez ce formulaire<\/a>.<\/p>\n <\/p>\nR\u00e9capitulatif de l’annonce de LastPass\u00a0: de quelles donn\u00e9es disposent les adversaires et quel est le risque\u00a0?<\/h2>\n
La non-impl\u00e9mentation des meilleures pratiques de mot de passe LastPass expose le mot de passe principal au coffre-fort<\/h2>\n
Le risque r\u00e9el : acc\u00e8s malveillant aux ressources de l’entreprise <\/h2>\n
L’impasse du RSSI : certaines menaces mais des capacit\u00e9s d’att\u00e9nuation extr\u00eamement faibles <\/h2>\n
Offre gratuite LayerX : visibilit\u00e9 \u00e0 100 % sur la surface d’attaque LastPass ainsi que des mesures de protection proactives<\/h2>\n
\n
\n\n
\n ![\"Surface](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1672951527_800_Attenuez-la-surface-dattaque-LastPass-dans-votre-environnement-avec-cet.png\" "\\"Surface")
<\/td>\n<\/tr>\n\n Rapport LastPass de LayerX<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n\n
\n ![\"Surface](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1672951527_863_Attenuez-la-surface-dattaque-LastPass-dans-votre-environnement-avec-cet.png\" "\\"Surface")
<\/td>\n<\/tr>\n\n La notification LayerX envoy\u00e9e aux utilisateurs vuln\u00e9rables<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \n