LastPass-hvelv er lekket – passordene dine kan være på avveie

[strike_]

Jeg har byttet passord på alle nettsteder og gått over til å bruke en "double blind" metode. Dvs at jeg lagrer passordet til nettstedet i databasen minus en 4-6 siffret kode. Passord manageren autofiller passordet for meg, men jeg må selv legge til denne koden på slutten av passordet, noe som går rimelig fort. Så HVIS noen skulle klare å knekke masterpassordet mitt så står de der fortsatt uten mulighet til komme seg inn på mine kontoer. 

Endret 29. desember 2022 av strike_

[Bing123]

On 12/29/2022 at 11:34 AM, MrL said:

Selv om URL vises er alle sensitive felt kryptert med samme master passordet - til og med brukernavnet. Du kan derfor ikke knekke passordet til et enkelt nettsted, man må knekke masterpassordet - som i så fall vil gi tilgang til alt. 

Man kan jo anta at Lastpass eposten er brukernavn på alle URL nettsidene som lekket. Samtidig er ikke brukernavn akkurat vanskelig å få tak i i dag eller gjette seg til med alle de uendelige andre lekkasjene, og poenget med Lastpass er jo nettopp at man skal ha et sterkt passord på alle nettsider. Hvis lekkasje av brukernavnet på en nettside anses som en sikkerhetsrisiko så har man gjort noe feil: Det er jo en risiko for nettopp alle som ikke bruker Lastpass og samme eller tilsvarende passord over alt. 

 

Poenget mitt var at URLene kan vise om det er masse kontoer til kryptovaluta eller aksjekontoer for en bruker, så kan de fokusere sin innsats på disse brukernes velv istedenfor et velv fra en bruker med facebook og diskusjon.no-passord. Alt som scoper ned innsatsen til angripere er positivt for de. Så kan de gå løs på andre ting.
Ja de må knekke master passordet.

Det er ingen grunn til å utelate URL fra krypteringen, må jo bare være mer tungvindt enn å kryptere alt. Så det må være et motiv som ikke har med sikkerhet å gjør.

Endret 31. desember 2022 av attz

[plankeby]

En slik passordtjeneste er helt greit til de 80% av passord som er uviktig om kommer på avveie. Dvs alle tjenester der passord på avveie ikke kan gi noen økonomiske utfordringer eller misbruk av identitet.

Havet av kundeklubber, lojalitetsprogram, forum med mer.

 

Endret 31. desember 2022 av plankeby

[Sidekick]

https://www.bleepingcomputer.com/news/security/nortonlifelock-warns-that-hackers-breached-password-manager-accounts/

Enda en password manager er hacket, denne gangen NortonLifeLock sin password manager, i ett såkalt credential stuffing attack

Ser ut som dette begynner å ligne på en trend.