Το hack του Lastpass ήταν χειρότερο από ό,τι ανέφερε αρχικά η εταιρεία

[mgeor]

Lastpass me masterpassword που δεν το γνωρίζει κανείς συν MFA και δεν υπάρχει κανένας φόβος όσο και να τους χακαρουν

[xaerialtwistx]

5 λεπτά πριν, Retromaniac είπε

Τότε μάλλον δεν έχεις καταλάβει πως λειτουργούν τα password managers.

Περιττή η ταλαιπωρία. Εκτός του ότι είναι κρυπτογραφημένα στο cloud και να τα κλέψουν είναι άχρηστα, οι τραπεζικες διαδικασίες θέλουν two way authentication με το τηλέφωνο σου. Οπότε και το εικονικό πληκτρολόγιο περιττό. Εκτός και αν μιλάς για εκατ. ευρώ όπου σε έχουν βαλει στο μάτι και φυλάγεσαι από κάθε μεριά για το peace of mind.

Προφανως και ξερω αφου η κρυπτογραφία και η ασφαλεια ειναι η ειδικοτητα μου εχοντας μεταξυ αλλων τοσο το CISSP και το OSCP όσο και αρκετες μικροτερες πιστοποιησεις σε σχεση με τα forensics.

Και ενταξει, εγω ετυχε να χρησιμοποιω offline λύσεις σχεδον 20 χρονια τώρα. Ο κοσμος που χρησιμοποιει το LastPass θες να μου πεις πως το μελετησε και συνειδητοποίησε πως μια cloud λυση ειναι ασφαλεστερη λόγο και της διατριβης που εχει κανει πανω στο θεμα κρυπτογραφια και master password μετά από ένα ενδελεχες ψαξιμο των offline λύσεων πριν εμφανιστει το cloud; Πόσοι χρησιμοποιουν master password που οντως δε σπαει; Ξερουμε οντως οτι η κρυπτογραφηση ειναι αυτη που το LastPass (ή η οποιαδηποτε υπηρεσια) ισχυριζεται; Είναι φυσιολογικό να εμπιστευεται ο κοσμος τους προσωπικους του κωδικους σε μια υπηρεσια ακόμα και αν όντως αυτή δε σπάει με τίποτα; Αν  κλέψουν την κρυπτογραφημενη βάση κάποιου και κάνουν σκοπο της ζωης τους να την σπάσουν με ενα προγραμμα που αξιοποιει τις δυνατότερες GPU χωρις περιορισμους στην διαταξη τους θα ειναι το θυμα ηρεμο ή θα ξεκινησει να αλλαζει τους κωδικους του εναν - εναν;

 

Προσωπικά έμαθα να σκέφτομαι παρανοϊκα στην Πληροφορική αν και με προβληματιζει το γεγονος πως υπαρχουν ατομα που δε σκεφτονται ετσι με μερικά από τα σοβαρότερα ψηφιακά τους δεδομένα.

[KyloRen]

Εγώ ξέρω ότι μετά από αυτό ο λογαριασμός μου στο psn δύο φορές μου ήρθε email καθώς και μια στο Facebook ότι έγιναν συνδέσεις από άγνωστη συσκευή και πάλι καλά κλείδωσαν αυτόματα μου ήρθε κωδικός στο email για επαναφορά. Ποτέ ξανά last pass!! 

[Retromaniac]

26 λεπτά πριν, xaerialtwistx είπε

Προφανως και ξερω αφου η κρυπτογραφία και η ασφαλεια ειναι η ειδικοτητα μου εχοντας μεταξυ αλλων τοσο το CISSP και το OSCP όσο και αρκετες μικροτερες πιστοποιησεις σε σχεση με τα forensics.

Και ενταξει, εγω ετυχε να χρησιμοποιω offline λύσεις σχεδον 20 χρονια τώρα. Ο κοσμος που χρησιμοποιει το LastPass θες να μου πεις πως το μελετησε και συνειδητοποίησε πως μια cloud λυση ειναι ασφαλεστερη λόγο και της διατριβης που εχει κανει πανω στο θεμα κρυπτογραφια και master password μετά από ένα ενδελεχες ψαξιμο των offline λύσεων πριν εμφανιστει το cloud; Πόσοι χρησιμοποιουν master password που οντως δε σπαει; Ξερουμε οντως οτι η κρυπτογραφηση ειναι αυτη που το LastPass (ή η οποιαδηποτε υπηρεσια) ισχυριζεται; Είναι φυσιολογικό να εμπιστευεται ο κοσμος τους προσωπικους του κωδικους σε μια υπηρεσια ακόμα και αν όντως αυτή δε σπάει με τίποτα; Αν  κλέψουν την κρυπτογραφημενη βάση κάποιου και κάνουν σκοπο της ζωης τους να την σπάσουν με ενα προγραμμα που αξιοποιει τις δυνατότερες GPU χωρις περιορισμους στην διαταξη τους θα ειναι το θυμα ηρεμο ή θα ξεκινησει να αλλαζει τους κωδικους του εναν - εναν;

 

Προσωπικά έμαθα να σκέφτομαι παρανοϊκα στην Πληροφορική αν και με προβληματιζει το γεγονος πως υπαρχουν ατομα που δε σκεφτονται ετσι με μερικά από τα σοβαρότερα ψηφιακά τους δεδομένα.

Και εγώ πληροφορικός είμαι με αρκετές γνώσεις πάνω στην κρυπτογράφηση και ειδικά από προγραμματιστική ματιά. Το αν κόσμος ξέρει πως γίνεται και πόσο ασφαλές είναι δεν έχει σημασία. Αυτή τη στιγμή η κρυπτογράφηση δεν σπάει. Ακόμη και αν προσπαθήσουν με χιλιάδες gpu, αν πραγματικά έχεις strong master password δεν θα σπάσει. Και αυτό φυσικά θα το κάνουνε σε στοχευμένα άτομα και όχι σε μένα και σένα. Αν με την εξέλιξη της τεχνολογίας σπάσει τελικά η κρυπτογράφηση που έχουμε, τότε ναι μεν αυτοί που δεν τους έχουν κλέψει είναι ασφαλείς γιατί οι εταιρείες θα βάλουν ακόμη πιο ισχυρή κρυπτογράφηση, αλλά δυστυχώς αυτοί που τους έχουν κλέψει, θα αποκρυπτογραφηθούν τα δεδομένα τους. Για αυτό και σε αυτές τις υπηρεσίες κωδικών (και σε όλες τις cloud υπηρεσίες) αποθηκεύεις ΜΟΝΟ κωδικούς από υπηρεσίες και όχι από storage, και που μπορείς να τους αλλάξεις. Τα ευαίσθητα προσωπικά δεδομένα πάντα offline.

Όσον αφορά αυτό που λες για το πως ξέρουμε αν οι εταιρείες δεν κρατάνε τα password, θα ήταν σαν να πυροβολούσαν τον εαυτό τους στο πόδι.

[Shyn]

Έτσι και χρησιμοποιήσεις Password Manager δύσκολα επιστρέφεις πίσω σε offline λύσεις.

Οι περισσότεροι χρησιμοποιούν 3-4 κωδικούς και τους βάζουν παντού. Θεωρώ πως σ'αυτην την περίπτωση είσαι πολύ περισσότερο ευάλωτος.

Εαν χρησιμοποιήσω τον ίδιο κωδικό σ'ενα website που η βάση δεδομένη τους έχει ευπάθειες σε επιθέσεις sql injection, αυτόματα έχουν τον συνδυασμό του εμαιλ - κωδικού και για τις υπόλοιπες σελίδες που έχω χρησιμοποιήσει τον ίδιο συνδυασμό.

Προσωπικά χρησιμοποιώ 3 χρόνια το LastPass και δεν αντιμετώπισα προβλήματα. Παρόλα αυτά επειδή φαίνεται ότι η ποιότητα της εταιρείας έχει πέσει κατακόρυφα από την στιγμή που εξαγοράστηκε από την LogMeIn ειναι καιρός να κοιτάξω εναλλακτικές.

Επεξ/σία 23 Δεκεμβρίου 2022 από Shyn

[doubleh]

3 ώρες πριν, Retromaniac είπε

Γιατί είναι κρυπτογραφημένα.

Edit: Μόλις το τσέκαρα και είδα ότι και στο Keep είναι κρυπτογραφημένα, οπότε απλά πιο βολικοί

Καλησπέρα. Θέλεις λίγο να το εξηγήσεις αυτό;

Με τι κλειδί; της google;

Γιατί εγώ δεν θυμάμαι να έβαλα ποτέ κλειδί στο keep. Εκτός κ αν είναι έξτρα λειτουργία. 

Σ ευχαριστώ 

[JimGer]

4 hours ago, leonidas_fs said:

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

Βρήκες σοβαρές User friendly διαφορές με 1Password?

3 hours ago, leonidas_fs said:

Μου έκανε κάτι χαζά τύπου δεν μου εμφανιζόταν το autofill, οταν άλλαζα κωδικό δεν μου έκανε αυτό update τον καινούργιο κωδικό στο 1password τέτοιες χαζομάρες! Ίσως να έφταιγε το chrome extension που χρησιμοποιούσα

Αν μιλάς για browser ήσουν σε Pc δουλειάς? Αυτό με το update έχει θέμα στο laptop δουλειάς που έχουν πάνω 500 προγράμματα κρυπτογράφησης/antivirus etc

[panathatube]

The last guy who passes by να κλείσει την πόρτα. 

[utchihasassuke]

5 ώρες πριν, leonidas_fs είπε

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

Δοκίμασε το Keepass, τρομερα lightweight, το δουλεύω χρόνια.

[bjj-p]

Αν αποκτησουν μονο τον προσωπικο κωδικο σου, δεν μπορουν να κανουν τιποτα γιατι δεν εχουν που να τον εφαρμοσουν.

Αν αποκτησουν τα κρυπτογραφημενα δεδομενα, ειναι θεμα χρονου να τα ξεκλειδωσουν με συνηθεις τροπους. Σε καποιους λογαριασμους θα παρει πολυ, σε αλλους θα  τους ξεκλειδωσουν αμεσως.

[Kercyn]

3 λεπτά πριν, bjj-p είπε

Αν αποκτησουν μονο τον προσωπικο κωδικο σου, δεν μπορουν να κανουν τιποτα γιατι δεν εχουν που να τον εφαρμοσουν.

Αν αποκτησουν τα κρυπτογραφημενα δεδομενα, ειναι θεμα χρονου να τα ξεκλειδωσουν με συνηθεις τροπους. Σε καποιους λογαριασμους θα παρει πολυ, σε αλλους θα  τους ξεκλειδωσουν αμεσως.

Αν τα κρυπτογραφημένα δεδομένα ξεκλείδωναν αμέσως ή σε λογικό χρόνο τότε δε θα έμπαινε κανείς στον κόπο να τα κρυπτογραφήσει.

[CyanBlue]

Μήπως τελικά είναι πιο ασφαλές το post-it με κωδικούς κολλημένο στην οθόνη? 😀

[bjj-p]

9 λεπτά πριν, Kercyn είπε

Αν τα κρυπτογραφημένα δεδομένα ξεκλείδωναν αμέσως ή σε λογικό χρόνο τότε δε θα έμπαινε κανείς στον κόπο να τα κρυπτογραφήσει.

Αν εχεις τους καταλληλους τροπους μια χαρα ξεκλειδωνουν καποιοι λογαριασμοι. Οπως ειπα και πριν, καποιοι δεν θα ξεκλειδωσουν ποτε.

[Kercyn]

1 λεπτό πριν, bjj-p είπε

Αν εχεις τους καταλληλους τροπους μια χαρα ξεκλειδωνουν καποιοι λογαριασμοι. Οπως ειπα και πριν, καποιοι δεν θα ξεκλειδωσουν ποτε.

Ποιοι είναι αυτοί οι τρόποι και ποιοι λογαριασμοί ξεκλειδώνονται;

[Konst13]

6 ώρες πριν, leonidas_fs είπε

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

MS Authenticator  ανεκαθεν.