Το hack του Lastpass ήταν χειρότερο από ό,τι ανέφερε αρχικά η εταιρεία

Καλό πάντως που μας δίνουν πληροφορίες σχετικά με το τι έγινε και τι κάνουν αυτοί για αυτό. Έχει ενδιαφέρον 

4 ώρες πριν, bjj-p είπε

Αν αποκτησουν μονο τον προσωπικο κωδικο σου, δεν μπορουν να κανουν τιποτα γιατι δεν εχουν που να τον εφαρμοσουν.

Αν αποκτησουν τα κρυπτογραφημενα δεδομενα, ειναι θεμα χρονου να τα ξεκλειδωσουν με συνηθεις τροπους. Σε καποιους λογαριασμους θα παρει πολυ, σε αλλους θα  τους ξεκλειδωσουν αμεσως.

Χρησιμοποιω εναν σχετικα απλο master password με γραμματα, αριθμους και συμβολα, αλλα οχι πολυ μεγαλο. O password manager εχει την παρακατω κρυπτογραφηση:

Your data is fully encrypted with 256-bit AES with 100,000 rounds of PBKDF2-HMAC-SHA512 using the open-source encryption engine SQLCipher.

Δεν νομιζω να μπορεσει να σπασει πριν περασουν μερικα χρονια. Παντα με την προυποθεση οτι θα καταφερει καποιος να αποσπασει την βαση δεδομενων την οποια την κανω sync μονο στο google drive με 2FA.

10 ώρες πριν, leonidas_fs είπε

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

Δες και το roboform

8 ώρες πριν, xaerialtwistx είπε

Προφανως και ξερω αφου η κρυπτογραφία και η ασφαλεια ειναι η ειδικοτητα μου εχοντας μεταξυ αλλων τοσο το CISSP και το OSCP όσο και αρκετες μικροτερες πιστοποιησεις σε σχεση με τα forensics.

Και ενταξει, εγω ετυχε να χρησιμοποιω offline λύσεις σχεδον 20 χρονια τώρα. Ο κοσμος που χρησιμοποιει το LastPass θες να μου πεις πως το μελετησε και συνειδητοποίησε πως μια cloud λυση ειναι ασφαλεστερη λόγο και της διατριβης που εχει κανει πανω στο θεμα κρυπτογραφια και master password μετά από ένα ενδελεχες ψαξιμο των offline λύσεων πριν εμφανιστει το cloud; Πόσοι χρησιμοποιουν master password που οντως δε σπαει; Ξερουμε οντως οτι η κρυπτογραφηση ειναι αυτη που το LastPass (ή η οποιαδηποτε υπηρεσια) ισχυριζεται; Είναι φυσιολογικό να εμπιστευεται ο κοσμος τους προσωπικους του κωδικους σε μια υπηρεσια ακόμα και αν όντως αυτή δε σπάει με τίποτα; Αν  κλέψουν την κρυπτογραφημενη βάση κάποιου και κάνουν σκοπο της ζωης τους να την σπάσουν με ενα προγραμμα που αξιοποιει τις δυνατότερες GPU χωρις περιορισμους στην διαταξη τους θα ειναι το θυμα ηρεμο ή θα ξεκινησει να αλλαζει τους κωδικους του εναν - εναν;

 

Προσωπικά έμαθα να σκέφτομαι παρανοϊκα στην Πληροφορική αν και με προβληματιζει το γεγονος πως υπαρχουν ατομα που δε σκεφτονται ετσι με μερικά από τα σοβαρότερα ψηφιακά τους δεδομένα.

Σαφώς και οι offline λυσεις είναι ασφαλέστερες αλλα για αυτό το λόγο εφευρέθηκε η κρυπτογραφία. Θέλει χρόνια για να σπάσει. Σε καμια 50αρία χρόνια και λίγα  αδιάλειπτης λειτουργίας του μηχανήματος που θα κάνει την δουλειά, ίσως τα καταφέρει.

5 ώρες πριν, bjj-p είπε

Αν εχεις τους καταλληλους τροπους μια χαρα ξεκλειδωνουν καποιοι λογαριασμοι.

Επίσης αν ρίξει βροχή, θα βρέξει! 

12 ώρες πριν, leonidas_fs είπε

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

Εισαι σε Windows? Σε Μακ θεωρώ το 1Password τοπ με διαφορά σε UI και ευχρηστία μεταξύ Mac κ iOS. Απο το lastpass μου λείπει μόνο το feature για Emergency access. Και εγώ επίσης τα δοκίμασα όλα (σε μακ) και τελικά κατέληξα σε 1P. 

Side note - Top απο θεμα UI & ευχριστία θεωρώ το RememΒear by the way. Κρίμα που δεν είχε αρκετούς χρήστες και θα κλείσει σύντομα.

Προσωπικά το κορυφαίο με διαφορά θεωρώ το mSecure για όλα τα λειτουργικά.

Και υποτίθεται ήταν εφαρμογή με επιπλέον προστασίες για τους προσωπικούς μας κωδικούς.

Οι τράπεζες γιατί δεν χρησιμοποιούν Two-Factor Authentication (2FA)?

1 ώρα πριν, sunlight2030 είπε

Οι τράπεζες γιατί δεν χρησιμοποιούν Two-Factor Authentication (2FA)?

Εχουν

1 ώρα πριν, Paragontas-x είπε

Και υποτίθεται ήταν εφαρμογή με επιπλέον προστασίες για τους προσωπικούς μας κωδικούς.

Είναι. Τα δεδομένα τους είναι άχρηστα γιατί είναι κρυπτογραφημένα 

17 ώρες πριν, leonidas_fs είπε

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

Bitwarden με κλειστά μάτια

4 ώρες πριν, Finnn είπε

Εισαι σε Windows? Σε Μακ θεωρώ το 1Password τοπ με διαφορά σε UI και ευχρηστία μεταξύ Mac κ iOS. Απο το lastpass μου λείπει μόνο το feature για Emergency access. Και εγώ επίσης τα δοκίμασα όλα (σε μακ) και τελικά κατέληξα σε 1P. 

Side note - Top απο θεμα UI & ευχριστία θεωρώ το RememΒear by the way. Κρίμα που δεν είχε αρκετούς χρήστες και θα κλείσει σύντομα.

εμένα πάντως to keychain σε macos μια χαρά μου φαίνεται ...

14 hours ago, Retromaniac said:

Και εγώ πληροφορικός είμαι με αρκετές γνώσεις πάνω στην κρυπτογράφηση και ειδικά από προγραμματιστική ματιά. Το αν κόσμος ξέρει πως γίνεται και πόσο ασφαλές είναι δεν έχει σημασία. Αυτή τη στιγμή η κρυπτογράφηση δεν σπάει. Ακόμη και αν προσπαθήσουν με χιλιάδες gpu, αν πραγματικά έχεις strong master password δεν θα σπάσει.

Αυτό ισχύει ΑΝ είσαι σίγουρος ότι εμπιστεύεσαι ότι εσωτερικά σε κώδικα που δεν ξέρεις η Lastpass, 1password και κάθε μη open source χρησιμοποιεί την κρυπτογράφηση που λέει ΚΑΙ δεν έχει bugs που μπορούν να διαρρεύσουν κωδικοί με πλάγιο τρόπο πέρα από το πως είναι αποθηκευμένοι

Ο καλύτερος, ασφαλέστερος, untucking hackable password manager του σύμπαντος ειναι ΚΑΙ αυτός Ελληνικός και φυσικά ο παλαιοτερος όλων! 
 

δεν ειναι άλλος από το οπισθόφυλλο του hard covered αλλά φθαρμένου τηλεφωνικού καταλόγου της γιαγιάς. 
 

ουτε ο skynet δεν θα βρει τους κωδικού σου.

5 hours ago, vabill said:

Ο καλύτερος, ασφαλέστερος, untucking hackable password manager του σύμπαντος ειναι ΚΑΙ αυτός Ελληνικός και φυσικά ο παλαιοτερος όλων! 
 

δεν ειναι άλλος από το οπισθόφυλλο του hard covered αλλά φθαρμένου τηλεφωνικού καταλόγου της γιαγιάς. 
 

ουτε ο skynet δεν θα βρει τους κωδικού σου.

Δεν είναι γιατί δεν μπορείς να έχεις 50-100 διαφορετικούς και ασφαλείς (είτε φράση με 4-5+ λέξεις είτε π.χ. 25-30 τυχαίους χαρακτήρες) κωδικούς τους οποίος κάθε φορά πρέπει να πληκτρολογείς, βασικά μπορείς αλλά σε 1-2 μέρες το μη πρακτικό του θέματος θα σε υποχρεώσει σε υποχωρήσεις στην ασφάλεια

7 ώρες πριν, Hacker?pcs είπε

Αυτό ισχύει ΑΝ είσαι σίγουρος ότι εμπιστεύεσαι ότι εσωτερικά σε κώδικα που δεν ξέρεις η Lastpass, 1password και κάθε μη open source χρησιμοποιεί την κρυπτογράφηση που λέει ΚΑΙ δεν έχει bugs που μπορούν να διαρρεύσουν κωδικοί με πλάγιο τρόπο πέρα από το πως είναι αποθηκευμένοι

Όπως είπα, το να αποθηκεύσεις άλλα στοιχεία για τους κωδικούς ενώ είσαι εταιρεία που κάνει αυτή την δουλειά είναι σαν πυροβολείς τον εαυτό σου στο πόδι. Όσον αφορά τα bugs από την στιγμή που κρυπτογραφεί κάτι με aes-256 ό,τι bug και να έχει ο κώδικάς σου δεν έχει ΚΑΜΙΑ σημασία. Η κρυπτογράφησή σου μπορεί να ελεγχθεί με οποιοδήποτε άλλο πρόγραμμα κρυπτογράφησης ότι παράγει σωστά αποτελέσματα. Αν και δεν κάθεται κανείς να κάνει δικό του κώδικα. Υπάρχουν έτοιμοι στις βιβλιοθήκες για τις γλώσσες προγραμματισμού.

πχ. εδώ σε c#

How to create AES encryption 256 bit key in C# (siakabaro.com)

1 minute ago, Retromaniac said:

Όπως είπα, το να αποθηκεύσεις άλλα στοιχεία για τους κωδικούς ενώ είσαι εταιρεία που κάνει αυτή την δουλειά είναι σαν πυροβολείς τον εαυτό σου στο πόδι.

Γι' αυτό υπάρχουν οι offline, open source λύσεις όπως το KeePass

1 minute ago, Retromaniac said:

Όσον αφορά τα bugs από την στιγμή που κρυπτογραφεί κάτι με aes-256 ό,τι bug και να έχει ο κώδικάς σου δεν έχει ΚΑΜΙΑ σημασία. Η κρυπτογράφησή σου μπορεί να ελεγχθεί με οποιοδήποτε άλλο πρόγραμμα κρυπτογράφησης ότι παράγει σωστά αποτελέσματα. Αν και δεν κάθεται κανείς να κάνει δικό του κώδικα. Υπάρχουν έτοιμοι στις βιβλιοθήκες για τις γλώσσες προγραμματισμού.

πχ. εδώ σε c#

How to create AES encryption 256 bit key in C# (siakabaro.com)

Γι' αυτό αναφέρθηκα σε πλάγιες επιθέσεις που οι κωδικοί μπορεί να διαρρεύσουν αφού αποκρυπτογραφηθούν και επειδή ο κώδικας είναι κλειστός στο LastPass, 1password, κτλ κανείς δεν ξέρει τι κάνει, πολύ χειρότερα δε για online password manager.

Και σημειωτέων ότι το να γράψει κάποιος δικό του κώδικα που έχει να κάνει με κρυπτογραφία είναι ο πιο εύκολος τρόπος να έχει bug, ποτέ χειροποίητες λύσεις για password managers