Senhas embaralhadas foram expostas na violação de dados do Imperva

Às vezes, um evento infeliz pode nos levar a aprender algo novo. Afinal, todos nós não aprendemos com os erros? Hoje podemos aprender com os erros de Imperva.

A Imperva é uma empresa de software de segurança cibernética sediada em Redwood Shores, Califórnia. Esta empresa fornece aos seus clientes proteção para dados corporativos. Os clientes adquirem os serviços de firewall da Internet da Imperva para evitar ataques cibernéticos e outras atividades cibernéticas maliciosas.

Infelizmente, a Imperva anunciou que sofreu uma violação de dados em agosto, e essa violação de dados afetou milhares de clientes. Segundo o relatório, chaves de API, endereços de email, certificados SSL e várias senhas codificadas foram expostas durante essa violação.

Há vários aspectos a serem discutidos sobre essa violação de dados, principalmente quando consideramos o fato de uma empresa que LIDRA com segurança cibernética foi afetada. No entanto, desta vez, forneceremos uma breve visão geral do problema e, em seguida, focaremos nas senhas codificadas que também foram expostas. Você já se perguntou o que é uma senha codificada?

O que aconteceu com Imperva?

Como mencionado, a Imperva sofreu uma violação de dados que expôs os dados de seus clientes a hackers. Parece que todo o incidente foi resultado de negligência, porque um sistema interno pode ser acessado da Internet. O sistema acessível pela Internet armazenava uma cópia da chave de API da AWS da Imperva.

Agora o que é isso? AWS refere-se ao Amazon Web Services, uma subsidiária da Amazon especializada no fornecimento de plataformas de computação em nuvem. Uma chave de API significa uma chave de interface de programação de aplicativos (API). É um identificador exclusivo que permite ao sistema autenticar um usuário ou um programa que tenta acessar a API. Por sua vez, a API é um protocolo de comunicação entre um cliente e um servidor. Pode ser um sistema baseado em uma plataforma em nuvem, sistema operacional, hardware e assim por diante. Assim, com a chave de API roubada, os hackers poderiam acessar o sistema da Imperva de fora.

Os repórteres de segurança cibernética acreditam que a Imperva não estava ciente da violação de dados no início e descobriram alguns meses depois que o hacker baixou uma cópia do instantâneo do banco de dados que foi usado para avaliar o Serviço de Banco de Dados Relacional (RDS) em sua plataforma em nuvem. O que isso significa? Isso significa que o hacker pode roubar os dados que estavam dentro do instantâneo e os dados criados APÓS a captura do instantâneo não foram afetados pela violação.

Em suma, a empresa não disse explicitamente quantos clientes foram afetados pela violação de dados. No entanto, mais de 13.000 senhas e 13.000 certificados SSL foram alterados e alternados após a notificação dos clientes afetados. Portanto, é fácil entender mais ou menos o escopo do incidente.

O que é uma senha codificada?

Como concluímos a visão geral da violação, podemos examinar mais de perto um dos tipos de dados que foram expostos e vazaram. Estamos falando de senhas codificadas aqui. Quando você ouve a palavra "embaralhar", provavelmente pensa no popular jogo online ou ovos mexidos, mas é verdade que também podemos embaralhar nossas senhas.

A mistura de senhas é uma das maneiras de armazená-las com segurança e torná-las mais fortes. Por exemplo, o Cyclonis Password Manager também usa a codificação de senhas para armazenar as senhas de seus clientes no cofre. No caso do gerenciador de senhas, ele usa criptografia para codificar senhas salvas. No entanto, existem outras maneiras de proteger senhas, e as informações sobre a violação de dados do Imperva sugerem que as senhas codificadas expostas foram divididas em hash e salgadas.

O que diabos isso significa? Bem, você provavelmente sabe que pode descriptografar algo depois de criptografado se tiver uma chave de descriptografia. Hashing, por outro lado, significa que os dados não podem ser decodificados depois de codificados. Além disso, não importa que tipo de string de dados você esteja usando hash, o comprimento da saída é sempre fixo. Ou seja, se você vai embaralhar Eu amo maçãs ou odeio chuva, vá embora , o comprimento da saída final será o mesmo (se você usar o mesmo algoritmo para fazer o hash).

Como o hash não funciona ao contrário, mas embaralhar a string com o mesmo algoritmo produz a mesma saída, ele pode ser usado para verificar e autenticar o acesso. Por exemplo, se o banco de dados armazena senhas em hash e alguém digita uma senha em texto sem formatação tentando entrar no banco de dados, o sistema precisa aplicar o mesmo algoritmo para fazer o hash da senha em texto sem formatação. Se o valor do hash corresponder ao valor armazenado no banco de dados, a autenticação será concedida. Também é realmente difícil decifrar uma senha com hash, e a única maneira de fazer isso é forçá-la brutalmente.

É ainda mais difícil decifrá-lo se aplicar salga. Na segurança cibernética, salt refere-se a um valor aleatório de dados que é adicionado a uma senha. Os usuários não veem esse valor, mas ele é anexado às suas senhas nos sistemas de computador para fornecer melhor segurança. Em outras palavras, suas senhas não são mantidas em texto simples, porque isso levaria totalmente a terríveis violações de dados.

Dentro do sistema, o valor do sal é gerado aleatoriamente. Ele é adicionado à senha de texto sem formatação e, em seguida, a cadeia inteira geralmente é dividida em hash (como descrito acima). O uso de diferentes valores de sal com as mesmas senhas resulta em valores de hash completamente diferentes; portanto, espalhar sal (figurativamente falando) em suas senhas os torna mais fortes.

A partir disso, podemos supor que roubar senhas embaralhadas só pode ser lucrativo se o hacker tiver meios de forçá-las a brutalidade. Obviamente, essa possibilidade sempre existe, e é por isso que a Imperva instou seus clientes a mudar suas senhas. No entanto, também é possível dizer que roubar senhas codificadas é praticamente o mesmo que roubar um cofre que não possui uma chave. Isso não muda o fato da violação de dados, mas pelo menos há um pouco de prata lá.