Le coffre a tenu. Ce n'est jamais par là qu'on est entré.

LastPass a de nouveau été compromis ce mois-ci. Ce que tout le monde redoutait ne s'est pas produit. Aucun coffre n'a été forcé. Aucun mot de passe principal n'a été compromis. Les secrets chiffrés sont restés intacts. LastPass a confirmé que ses « produits, services et infrastructures n'ont pas été affectés » et que les coffres des clients « sont restés sécurisés ». [1]

Les attaquants ne se sont jamais approchés du coffre. Ils sont entrés par un fournisseur.

Voici la chaîne, car le mécanisme est tout l'enjeu. Le 11 juin, un groupe se faisant appeler Icarus s'est introduit dans Klue, une plateforme de veille concurrentielle qu'@LastPass utilisait en interne. Leur point d'entrée, selon @HuntressLabs, qui a travaillé sur l'incident : « un identifiant API dormant depuis longtemps, créé à l'origine pour un prototype d'intégration tierce abandonné ». [2] Une clé fabriquée pour un projet qui n'existait plus, à une fin dont plus personne ne se souvenait, toujours active. Depuis l'intérieur de Klue, ils ont poussé du code malveillant qui a collecté les jetons OAuth que Klue détenait pour ses clients : les autorisations permanentes lui permettant de lire @salesforce, Slack, HubSpot et d'autres au nom de ces entreprises. L'un de ces jetons était celui de LastPass. Avec, les attaquants ont lu le CRM Salesforce de LastPass. Noms, adresses e-mail, numéros de téléphone, adresses, contenus des tickets de support. Puis la note de rançon. Payez, ou cela sera publié sur le site de fuites.

LastPass n'a pas été le seul touché par l'onde de choc. Huntress, Recorded Future, Tanium, Jamf, BeyondTrust. Des sociétés de sécurité, pour la plupart. Le genre d'entreprises dont c'est le métier.

Il faut donc rendre à César ce qui lui revient. La cryptographie de LastPass a fait exactement ce qu'elle promettait. Le coffre n'est pas le sujet. Le sujet, c'est une catégorie de secret que presque personne ne traite comme un secret : le jeton de longue durée qui vit dans une intégration SaaS que vous avez validée une fois et dont vous ne vous êtes plus jamais soucié. Il n'expire pas. Il ne sait pas qu'il a été volé. Il accorde bien plus que ce pour quoi il a été créé, et il continue de l'accorder, discrètement, jusqu'à ce qu'un humain pense à aller le désactiver. En général, aucun humain ne le fait.

C'est là que la donne change. Le modèle de menace est passé de « peuvent-ils forcer le coffre » à « combien de clés oubliées sont restées dans des portes que vous ne surveillez plus ». Un identifiant mort, issu d'un prototype abandonné, a suffi pour atteindre les données clients de toute une série d'entreprises. La cryptographie n'a jamais été le point faible. La prolifération, si.

C'est exactement le type de défaillance qu'un secret d'accès devrait être conçu pour refuser. Un secret émis par Clavitor est de courte durée et limité en périmètre. Il est négocié pour une seule opération, il expire de lui-même, et il est lié et attribué à la machine qui l'a utilisé. Un tel jeton ne peut pas devenir ce qui a causé les dégâts ici : une autorisation oubliée, collectée longtemps après que quiconque se souvienne de son existence, rejouée depuis l'infrastructure d'un inconnu sans rien qui l'attribue à un acteur. Il a disparu avant qu'on puisse le trouver, et il n'a jamais dépassé sa seule tâche.

Une limite mérite d'être énoncée clairement. Clavitor gouverne les secrets d'accès qu'il détient, pas l'autorisation OAuth permanente que vous avez confiée à la plateforme d'un fournisseur. Ce jeton vit dans leur système, sous leur contrôle, et aucun coffre ne s'y introduit pour le faire expirer à votre place. Ce qui change, c'est tout ce qui relève de Clavitor. Il refuse d'être l'endroit où un secret à durée de vie illimitée peut s'installer discrètement. La discipline dont l'absence a ouvert la porte de Klue (durées de vie courtes, périmètre strict, véritable attribution) est ici le comportement par défaut, pas un réglage que quelqu'un était censé se rappeler de faire.

La question qui reste est inconfortable. Combien de jetons actifs dorment chez des fournisseurs que vous avez intégrés il y a un an et dont vous ne vous êtes plus soucié depuis ?

Nous avons rédigé la poignée de propriétés qu'un secret d'accès devrait présenter avant de lui confier quoi que ce soit. [3]

Clavitor (@clavitorai) est le coffre de secrets d'accès conçu pour les agents IA, et contre eux. clavitor.ai

Sources

[1] BleepingComputer, « LastPass confirms data breach in Klue supply chain attack » — @BleepinComputer

[2] Conclusions d'incident de Huntress, rapportées par Help Net Security, « Klue breach lead to Salesforce data theft, Huntress affected » — @HuntressLabs, @helpnetsecurity

[3] The Ten Rules of Credential Management (article natif X) — @clavitorai