Användardata på vift efter intrång hos Lastpass

Ptja, hotaktörerna får en field-day här. Riktig intel-gruva när interna domännamn röjs via det okrypterade URL-fältet.

Går antagligen att lista ut vilken hypervisor, brandvägg, AV, EDR, etc som ett uttänkt mål nyttjar. Jag menar, vad manageras inte via webbgränssnitt nu för tiden?

Visst. Även om du har ett långt slumpat lösenord med versaler, gemener, siffror och tecken så visst är det möjligt gissa på första försöket. Sannolikheten är dock försvinnande låg. Även en blind höna osv...

Man ska inte måla fan på väggen som man brukar säga.

Använder man hundens namn, fruns födelsedatum eller dylikt simpelt som lösenord får man skylla sig själv om man blir hackad.

För att vara rättvis så kom nyheten den 22:a på t ex Bleeping Computer och i USA är den största firardagen den 25:e, i likhet med en del andra länder.

Känns som att det där med ett lösenordsfritt internet är på tiden nu.

Hypervisor är inte detsamma som molntjänstleverantör.

Det som finns är en "stor dump" med bla. individuellt krypterade lösenord, secure notes och användarnamn, men även okrypterade fält som URL.

Verkar som de inte skyddar informationen mer än användarens huvudlösenord, för mig är det mycket konstigt. Man kan ju ganska enkelt köra informationen genom ett eller flera lager om det ska lagras, till exempel med nycklar i en HSM eller annat. Finns ingen anledning alls att de ska ha saker i klartext när det handlar om säkerhet på den här nivån

Nu kan det såklart läcka data även från den typen av lösning, men informationen är inte användbar lika enkelt av tredje part i alla fall

Bara att invänta Q-day.

Borde vara byta sina lösenord i plural då man antagligen har sparat fler än ett lösenord via tjänsten.

Fast det är väl tveksamt om det är relevant i det här sammanhanget, helt bortsett från hur sannolikt det är att man faktiskt skulle nå dit i närtid.

Detta är väl en fråga om bara symmetriskt krypto + hashning, inte saker som brukar vara föremål för diskussion vad gäller möjligheterna som kvantdatorer skulle ge.
Det är väl i princip publik-nyckel krypto som den diskussionen handlar om (där det typiskt går att applicera Shors algoritm i dagens lösningar).

Det är en inte speciellt stor andel lösenord som "hackas", den absolut största majoriteten kommer från social engineering.

Där ser ni alla Losers som inte kör med lösenordet 12345, ni får bara en massa krångel!

Nej 2 faktor av det viktigaste, det mindre viktigare så får man dra ner på säkerheten. Ett tips är i vissa lösenordshanterare att inte ange komplett information. Skriver man rubrik UD sedan lösenordet ¤gtLi9vf42(h} så även om någon kommer åt detta, så är det inte självklart att UD betyder kodlåset till ens UteDass.

Jag behöver en lösenordshanterare. Den är ett måste för att hålla en viss nivå av säkerhet på mina 590 inloggningar. Alla är nog inte aktiva och jag kan definitivt behöva städa...

Som betalande Lastpass användare sedan mars 2013 så blir jag givetvis orolig när sånt här händer. Läser vad som står om vad som hänt och hur. Hittills har de 3-4 händelserna Lastpass råkat ut för inte föranlett någon åtgärd, och jag tror inte det får mig att byta nu heller. Samtidigt börjar gränsnittet och funktionaliteten kännas gammalt, oavsett hur säkert det är. Vissa mobil funktioner glappar, sidor med popups för lösen (vanlig htaccess lösen till exempel) klarar den inte av.

Men jag har också märkt att det kan bero på webläsare, Lastpass kör ju som plugg, och vissa funkar bättre än andra.

Både mitt AV har börjat med att erbjuda lösenordshantering och MS Authenticator har tydligen också börjat köra in det i sin funktionalitet.

Alla kan inte vara lika säkra och användarvänliga. Bitwarden tillhör de som har fått höga betyg ofta men jag tvekar...