LastPass, un rinomato gestore di password, ha recentemente comunicato che presto inizierà a criptografare l'URL dello store delle password dei suoi utenti. Questa decisione è stata presa al fine di aumentare la privacy dei dati e proteggerli da possibili perdite o accessi indesiderati. La nuova funzionalità rappresenta un considerevole passo in avanti verso la realizzazione di un'architettura a "knowledge zero", il che significa che nemmeno LastPass potrà avere accesso ai dati degli utenti.
"
La crittografia dell'URL si svolgerà automaticamente e senza interruzioni", si legge nelle note dell'azienda, sottolineando il contributo delle elevate performance dell'hardware moderno in quest'operazione.Era il 2008 quando gli ingegneri di LastPass, a causa delle limitazioni della potenza di calcolo dell'epoca, decisero di non cifrare gli URL per ridurre il carico della CPU e minimizzare il consumo energetico. Con l'evoluzione della tecnologia, queste restrizioni sono diventate irrilevanti e l'azienda ha deciso di cifrare e decifrare gli URL senza apportare ritardi significativi nel funzionamento del prodotto.
La crittografia degli URL risulta fondamentale per migliorare la sicurezza degli utenti e le precondizioni per una architettura a knowledge zero . Gli URL possono rivelare dettagli importanti relativi alla natura degli account, come servizi bancari, e-mail o social network. La crittografia di questi dati contribuirà a mantenere la riservatezza e a limitare i rischi.
Purtroppo, LastPass ha registrato nel 2022 due violazioni dei dati in cui i malware hanno ottenuto l'accesso al codice sorgente, ai dati degli utenti e ai backup, tra cui anche gli archivi di password cifrate.
"
Sebbene fosse necessaria una password principale per decrittografare questi depositi, la fuga di informazioni includeva URL non crittografati", dichiara l'azienda, "consentendo agli aggressori di prendere di mira specificamente vari account".Diverse password principali deboli sono state decrittografate e utilizzate per hackerare piattaforme di trading di criptovalute, provocando il furto di oltre 4 milioni di dollari. Questo grave evento sottolinea quanto sia importante avere una crittografia performante e, se possibile, proteggere tutti i dati archiviati in servizi sensibili come LastPass.
L'implementazione della crittografia URL in LastPass richiederà una riprogettazione dei componenti client e server. La prima fase di implementazione sarà avviata a giugno 2024 e includerà la crittografia automatica dei campi URL principali. La seconda fase sarà completata nella seconda metà dello stesso anno e coprirà i restanti sei campi URL.
Gli utenti non dovranno intraprendere alcuna azione in quanto LastPass invierà automaticamente tutte le istruzioni per l'utilizzo delle nuove funzionalità grazie al processo di distribuzione.
