To LastPass αναφέρει ότι παραβιάστηκε…και πάλι

[MrRush]

4 λεπτά πριν, kostasperv είπε

Δεν υπάρχει κανένας ασφαλής password manager 

Σε txt αρχείο και μόνο τοπικά.

Και φυσικά τακτικό backup και κάπου αλλού. 

Το 1Password είναι ασφαλεστατο. Έχεις 3 factor authentication πρακτικά. Για να μπεις στο vault χρειάζεται να ξέρεις τον κωδικό, ένα σιδηρόδρομο που σου δίνουν όταν γράφεσαι σαν δεύτερο κωδικό και επίσης χρειάζεται και OTP.

[m3ltd0wn]

Μπορείς να κάνεις rotate τους κωδικούς σου με κάποια βασικά στοιχεία για κάθε συγκεκριμένη ιστοσελίδα και "περίπου" να θυμάσαι τι έχεις βάλει. Αυτό κάνω παρότι έχω password manager αλλά και πάλι σίγουρα ξεχνάς. Έχει τύχει να βάλω 15 φορές λάθος κωδικό γιατί τον θυμάμαι στο περίπου...

Σε όποιον server και να είναι οι κωδικοί σου είναι ασφαλείς εφόσον είναι κρυπτογραφημένοι. Και breach να γίνει. Δεν μπορώ να καταλάβω τους ανθρώπους που αρνούνται μια ευκολία όπως οι password managers για μια ανασφάλεια που πραγματικά δεν υπάρχει.

Σαν να λες προτιμώ να πάω με τα πόδια 100χλμ γιατί το αυτοκίνητο μπορεί να σε σκοτώσει αν τρέχει. Δεν στέκει.

[Mhlogiatros]

Γιατι μια φορα να σου γινει η στραβη οπως τωρα με το * Lost Pass και την @τσισες πρεπει να αλλαζεις 200 κωδικους ....

[Tlykog]

11 λεπτά πριν, Thresh είπε

Δεκάδες? Εκατοντάδες? Αμφιβάλω.

Για δεκάδες μην αμφιβάλλεις. Το έχω δοκιμάσει και το ζω. Για εκατοντάδες, ακόμα και για χιλιάδες πιστεύω ότι γίνεται.

Το να θυμάσαι κωδικούς του τύπου 11@aDkgh$afalk356#sdflj?fslfh κτλ είναι όντως δύσκολο. Το να θυμάσαι αστείες φράσεις δεν είναι.

Όπως σου έγραψα και εξαρχής για άτομα με εκατοντάδες λογαριασμούς δεν ξέρω αν βολεύει γιατί δεν έχω καμία γνώση σε αυτό.

Παρόλα αυτά δε θα ένοιωθα ανετα όλοι μου οι κωδικοί να είναι μαζεμένοι σε ένα ξένο υπολογιστή. Σε καθε επιλογή υπάρχουν και τα αρνητικά. Όπως γράφει και ο @Mhlogiatros παραπάνω:

3 λεπτά πριν, Mhlogiatros είπε

Γιατι μια φορα να σου γινει η στραβη οπως τωρα με το * Lost Pass και την @τσισες πρεπει να αλλαζεις 200 κωδικους ....

Στη χειρότερη, αν ξεχάσω και κανένα κωδικό, κάνω ανάκτηση.

Επεξ/σία 2 Δεκεμβρίου 2022 από Tlykog

[m3ltd0wn]

Αναφορά σε κείμενο

Ο Toubba πρόσθεσε στην τελευταία ανάρτηση στο blog ότι οι κωδικοί πρόσβασης των πελατών παραμένουν με ασφάλεια κρυπτογραφημένοι.

Και προφανώς αυτή είναι η αλήθεια γιατί υπολογιστικά αυτός που πήρε τα δεδομένα θα πρέπει να έχει πάρει και τα αποκωδικοποιημένα κλειδιά των χρηστών. Εκτός αν στην lastpass είναι τόσο **** πιστεύω 99% ότι δεν έχει γίνει.

Επεξ/σία 2 Δεκεμβρίου 2022 από m3ltd0wn

[kostasperv]

5 λεπτά πριν, MrRush είπε

Το 1Password είναι ασφαλεστατο. Έχεις 3 factor authentication πρακτικά. Για να μπεις στο vault χρειάζεται να ξέρεις τον κωδικό, ένα σιδηρόδρομο που σου δίνουν όταν γράφεσαι σαν δεύτερο κωδικό και επίσης χρειάζεται και OTP.

Αποψη μου ότι οι εταιρίες έρχονται και παρερχονται. Αλλαζουν και τα κριτήρια τους και πολλές φορές σταματούν 

την λειτουργία τους. 

Το txt που χρησιμοποιώ το έχω από το 2010 και δεν εχω ποτέ πρόβλημα με τους κωδικούς.

Η αποψη μου πάντα είναι υποκειμενική. Για εμένα λειτουργεί ταχύτατα και ασφαλέστατα ο τρόπος αυτός

[m3ltd0wn]

10 λεπτά πριν, kostasperv είπε

Αποψη μου ότι οι εταιρίες έρχονται και παρερχονται. Αλλαζουν και τα κριτήρια τους και πολλές φορές σταματούν 

την λειτουργία τους. 

Το txt που χρησιμοποιώ το έχω από το 2010 και δεν εχω ποτέ πρόβλημα με τους κωδικούς.

Η αποψη μου πάντα είναι υποκειμενική. Για εμένα λειτουργεί ταχύτατα και ασφαλέστατα ο τρόπος αυτός

δεν είναι κακή λύση αλλά αν είσαι mobile τι κάνεις;

αν βρεθείς κάπου που δεν έχεις πρόσβαση στο txt αρχείο;

αν αλλάξεις κάποιον κωδικό και εκείνη την στιγμή δεν ενημερώσεις το αρχείο σου;

και αν έχεις πολλά αντίγραφα του αρχείου πως τα κρατάς ενήμερα όλα;

επίσης αν κάποιος σου πάρει το αρχείο αυτό; το έχεις κρυπτογραφημένο; Πόσο χρόνο σου παίρνει για να το ανοίξεις και πάντα θα μπορείς (πχ, σε κινητό πως το ανοίγεις, το έχεις σε rar με κωδικό);

Με ενδιαφέρουν οι απαντήσεις γιατί τα έχω σκεφτεί όλα αυτά και δεν έχω βρει μια λύση που να με ικανοποιεί και να με βολεύει ταυτόχρονα.

Επεξ/σία 2 Δεκεμβρίου 2022 από m3ltd0wn

[killer76]

Είμαι απίστευτα ικανοποιημένος με Safeincloud. Ελπίζω να μην ακούσω κάτι για αυτό

[Perfect]

Το 1Password ήταν πολύ καλό μέχρι που άρχισαν τις βλακείες με τις συνδρομές.

Enpass με ~40 ευρώ lifetime με app για όλες τις πλατφόρμες και πολλά features

https://deals.cultofmac.com/sales/enpass-plan-lifetime-subscriptions

[M A T R I X]

46 λεπτά πριν, Tlykog είπε

Το μοτίβο είναι συνδεδεμένο με το που έβαλα τον κωδικό. 
Προφανώς και δεν είναι το όνομα του site…😄

Το θέμα με τους κωδικούς φράσεις είναι είναι ότι παραμετροποιούνται και μπορείς να θυμάσαι όσους θέλεις.

Θες να μου πεις ότι θυμάσαι απέξω 30+ unique strong passwords; ας σοβαρευτούμε. Ή εσένα κοροιδεύεις ή εμάς

Επεξ/σία 2 Δεκεμβρίου 2022 από M A T R I X

[sistah]

Μαλλον πρεπει να ξεκινησουμε απο την βασικη αρχη οτι ολα ειναι hackable, ΟΜΩΣ ο σκοπος των layers of security ειναι να καθυστερησει ή/και να αποτρεψει τον hacker να φτασει στον στοχο του.
Στο μεταξυ, θα εχεις ειδοποιηθει εγκαιρως ωστε να κανεις τις απαραιτητες ενεργειες που θα προστατευσουν την κυριοτητα του λογαριασμου σου.
Ειναι ακριβως η ιδια λογικη με την κλειδαρια μιας πορτας, δεν βαζεις καλη κλειδαρια για να μην την ξεκλειδωσουν αλλα για να τους αποτρεψεις να ξοδεψουν πολυτιμο χρονο προσπαθωντας.

Με λιγα λογια οι password managers δεν ειναι ενα χρηματοκιβωτιο απο τα Jumbo που εχουν μεσα ενα excelοφυλλο με τα passwords του χρηστη σε plain text.... Εαν τηρουν τα πρωτοκολλα και εχουν σοβαρα audits, η πιθανοτητα να σου ανοιξουν το vault ειναι απελπιστικα μικρη.

Επεξ/σία 2 Δεκεμβρίου 2022 από sistah

[Strat8]

24 λεπτά πριν, sistah είπε

Μαλλον πρεπει να ξεκινησουμε απο την βασικη αρχη οτι ολα ειναι hackable, ΟΜΩΣ ο σκοπος των layers of security ειναι να καθυστερησει ή/και να αποτρεψει τον hacker να φτασει στον στοχο του.
Στο μεταξυ, θα εχεις ειδοποιηθει εγκαιρως ωστε να κανεις τις απαραιτητες ενεργειες που θα προστατευσουν την κυριοτητα του λογαριασμου σου.
Ειναι ακριβως η ιδια λογικη με την κλειδαρια μιας πορτας, δεν βαζεις καλη κλειδαρια για να μην την ξεκλειδωσουν αλλα για να τους αποτρεψεις να ξοδεψουν πολυτιμο χρονο προσπαθωντας.

Με λιγα λογια οι password managers δεν ειναι ενα χρηματοκιβωτιο απο τα Jumbo που εχουν μεσα ενα excelοφυλλο με τα passwords του χρηστη σε plain text.... Εαν τηρουν τα πρωτοκολλα και εχουν σοβαρα audits, η πιθανοτητα να σου ανοιξουν το vault ειναι απελπιστικα μικρη.

Θα συμφωνήσω. Νομίζω πως η έννοια του hacking σε εταιρείες που διαχειρίζονται passwords (στις σοβαρές πάντα) είναι παρεξηγημένη απο πολύ κόσμο. Ακούν πως έγιναν hack και νομίζουν πως οι hackers απέσπασαν ένα αρχείο txt ή excel με όλους τους κωδικούς των πελατών αυτούσιους. Η αποκωδικοποίηση των πληροφοριών που πήραν θα διαρκέσει ίσως και χρόνια, αν προσθέσεις και τα 2FA τότε η πρόσβαση στον λογαριασμό σου απο κάποιον τρίτο είναι ακόμα πιο δύσκολη. Εγώ προσωπικά χρησιμοποιώ Bitwarden και έχω ενεργοποιημένο 2FA μόνο με security keys (yubikeys). Δεν αυταπατώμαι, το ξέρω πως το χακάρισμα του Bitwarden είναι απλά θέμα χρόνου. Είμαι 100% βέβαιος πως μια μέρα θα ανοίξω κάποιο τεχνολογικό site όπως το insomnia και θα διαβάσω πως το Bitwarden χακαρίστηκε. Δεν θα αγχωθώ ιδιαίτερα. Το πολύ πολύ να αλλάξω κανένα master password κάποια στιγμή.

[ii_die_4]

Bitwarden (Vaultwarden) που είναι selfhosted και opensource χρησιμοποιώ και εγώ.

Αλλα. Και τα vaults όλων των χρηστών να έδινε η Lastpass, πάλι απειροελάχιστα θα κατάφερναν να τα ανοίξουν (και αν).
Έχει 10000 iterations encryption και two factor για να γίνουν decrypt. 

Το ότι έγινε hacked δεν σημαίνει ότι πήραν και τίποτα.

[Kostasspil]

10 hours ago, dsi44 said:

κατσε δηλαδη υπαρχουν ανθρωποι που παραχωρουν σε αυτες τις εταιρειες τους κωδικους τους για φυλαξη και αμεση χρηση? χαχαχαχαχαχαχαχαχαχαχαχαχαχαχαχαχα

Ναι, μερικοί από εμάς δεν έχουμε έναν κωδικό για όλα τα accounts μας ώστε να τον θυμόμαστε απ' έξω

[manolis940]

2 ώρες πριν, Tlykog είπε

Οι συνδυασμοί λέξεων σε μια γλώσσα είναι πρακτικά άπειρες και επειδή έχουν λογική συνοχή μπορείς να θυμάσαι τεράστιες εκφράσεις. Τα προγράμματα δεν κάνουν τετοιους συνδυασμούς.

Ποιο πρόγραμμα θα σπάσει μια τέτοια φράση, πχ 25 χαρακτήρων, σε λογικό χρόνο….

Έχεις μείνει πολύ πίσω αν νομίζεις ότι τα προγράμματα που ψάχνουν πλέον για κωδικούς το κάνουν ανά χαρακτήρα.
Βεβαίως το κάνουν και αυτό, όμως έχουν εξελιχθεί με το να συνδυάζουν λέξεις ή ακόμη να κάνουν αναζήτηση με το email σου με το username σου στο internet έτσι ώστε να βρουν περισσότερες πληροφορίες για τα προσωπικά σου δεδομένα και να κάνουν δοκιμές βάση αυτών.
Φυσικά όλα τα εργαλεία μέρα με την μέρα εξελίσσονται έτσι ώστε να γίνονται ακόμη πιο έξυπνα.

Αναφορά σε κείμενο

Margaretthatscherissexy100%

Για ένα password cracking tool που κάνει αναζήτηση με λεξιλόγιο, το παραπάνω είναι ένα password 6 χαρακτήρων και με τους 4 συνδυασμούς.

 

2 ώρες πριν, shadowlike είπε

Bitward open source = secure

Last Pass stolen code = not secure

πως γίνεται αυτό ;

Όταν την ασφάλεια σου την έχεις βασίσει πάνω στον ίδιο τον κώδικα μια χαρά γίνεται. Αν έχεις εφαρμόσει πρακτικές οι οποίες είναι γνωστές αλλά δεν έχουν μέχρι στιγμή τρόπο να σπάσουν και υπάρχουν τέτοιες.
Για παράδειγμα αν εφαρμόσεις στην εφαρμογή σου, κρυπτογράφηση AES-256, είναι αδύνατον κάποιος να πάρει το κρυπτογραφημένο μήνυμα και να καταλάβει σε εύλογο χρονικό διάστημα τι περιέχει μέσα. Φυσικά υπάρχουν πολλές τέτοιες τεχνολογίες καθώς και βελτιωμένος αλγόριθμος όπως AES με μεγαλύτερα μεγέθη κλειδιών. Βέβαια πολλές από αυτές στηρίζονται στο password του χρήστη ως κλειδί κρυπτογράφησης. Γι αυτό κάποια site δεν σε αφήνουν να βάλεις γελοία password γιατί ξέρουν με το που διαρρεύσει ένα αρχείο της κρυπτογραφημένης βάσης δεδομένων, θα διαρρεύσουν σε λίγο χρονικό διάστημα τα δεδομένα των χρηστών που έχουν password τύπου "111111111"

1 ώρα πριν, Ukforthemoment είπε

Για να δεις τους κωδικούς  σε chrome password manager  πρέπει να βάλεις τον κωδικό σου.

Αν πάρεις πρόσβαση στον chrome κάποιου οι κωδικοί είναι φανεροί. Αυτό εννοώ.

Όλα αυτά τα password βεβαίως δεν έχουν κάποιο master password για να τα ξεκλειδώσεις, έτσι είναι ευάλωτα σε επιθέσεις που μπορούν να γίνουν στην ίδια την συσκευή.

Αυτό δεν ισχύει βέβαια με την πλειοψηφία των password managers όπου τα δεδομένα που αποθηκεύουν τοπικά είναι κρυπτογραφημένα με το master password σου.

 

Δεν έχω δει στο κινητό αν υπάρχει κάποια καλύτερη ασφάλεια που μπορεί εύκολα να πέσει σε ξένα χέρια.

34 λεπτά πριν, Strat8 είπε

Θα συμφωνήσω. Νομίζω πως η έννοια του hacking σε εταιρείες που διαχειρίζονται passwords (στις σοβαρές πάντα) είναι παρεξηγημένη απο πολύ κόσμο. Ακούν πως έγιναν hack και νομίζουν πως οι hackers απέσπασαν ένα αρχείο txt ή excel με όλους τους κωδικούς των πελατών αυτούσιους. Η αποκωδικοποίηση των πληροφοριών που πήραν θα διαρκέσει ίσως και χρόνια, αν προσθέσεις και τα 2FA τότε η πρόσβαση στον λογαριασμό σου απο κάποιον τρίτο είναι ακόμα πιο δύσκολη. Εγώ προσωπικά χρησιμοποιώ Bitwarden και έχω ενεργοποιημένο 2FA μόνο με security keys (yubikeys). Δεν αυταπατώμαι, το ξέρω πως το χακάρισμα του Bitwarden είναι απλά θέμα χρόνου. Είμαι 100% βέβαιος πως μια μέρα θα ανοίξω κάποιο τεχνολογικό site όπως το insomnia και θα διαβάσω πως το Bitwarden χακαρίστηκε. Δεν θα αγχωθώ ιδιαίτερα. Το πολύ πολύ να αλλάξω κανένα master password κάποια στιγμή.

Και αν κάποιος πάρει και τα ίδια τα password σε κρυπτογραφημένη μορφή, θα έχεις άπειρο χρόνο για να τα αλλάξεις ή δεν θα μπεις καθόλου στον κόπο ξέροντας ότι έχεις ένα password που κάποιος και τεράστια υπολογιστή ισχύ να ασκήσει μόνο στο δικό σου αρχείο, δεν θα βρει τίποτα ακόμη και σε εκατοντάδες χρόνια.