Nyt sikkerhedshul i password-manager kompromitterer millioner af brugere

https://labs.detectify.com/2016/07/27/how-i-made-lastpass-give-me-all-yo...

Den vigtigste information er at hvis man kører med 2 faktor så virker hullet ikke. samt at de har lappet hullet hurtigt.

Tim, dit link er næppe de samme flaws som Tavis har fundet. Jeg citerer : "Full report sent to LastPass, they're working on it now. Yes, it's a complete remote compromise. Yes, I promise I'll look at 1Password.".

Derudover: "The Register" linket peger på en Version2-artikel fra 2015... jeg går ud fra i ville have linket hertil.

Ja vi havde en snak på version2 omkring sitet hvor folk blev ved med at påstå at bare man havde den syge kryptering var der ikke noget at komme efter.

Kryptering er ikke medicinen mod alt, det virker ikke hvis serveren / systemet er blevet kompromiteret. Når brugeren har mulighed for at få fat i sine kodeord, har man også som hacker den mulighed, hvis systemet er dårligt kodet.

Pointen er at kryptering er fuldstændig ligegyldigt når man har et hullet system. Og med et ikke hullet system er det bare lidt ekstra fudge man kan smide i hovedet på kunderne som jo heller ikke ved bedre.

Her mener jeg naturligvis kryptering af kodeordene i deres database og ikke transport kryptering så som tls, som er en god ting for at forhindre at nogle skulle opsnappe eens trafik.

Passwords lokalt med stærk kryptering.. Jeg har aldrig helt forstået logikken i at få andre til at opbevare ens passwords, krypteret eller ej.

Hullet er allerede lappet, så problemet var ikke større. @Brian Hansen: Hvordan sætter man lige en lokal passwordmanager op, der fungerer på tværs af (i mit tilfælde) 2 tablets, 2 pc'ere og en telefon? Det kan man mig bekendt ikke.

Hullet er allerede lappet, så problemet var ikke større.

"Complete remote compromise" lyder ellers som et pænt stort problem i mine ører. Ja, problemet er fixet nu, men var Tavis den første der fandt det?

@Brian Hansen: Hvordan sætter man lige en lokal passwordmanager op, der fungerer på tværs af (i mit tilfælde) 2 tablets, 2 pc'ere og en telefon? Det kan man mig bekendt ikke.

Der er password managers der kan sync'e udenom skyen, så længe man er på samme netværk. F.eks. Sticky Password.

Hvordan sætter man lige en lokal passwordmanager op, der fungerer på tværs af (i mit tilfælde) 2 tablets, 2 pc'ere og en telefon? Det kan man mig bekendt ikke.

Owncloud hjemme i stuen, webdav sync af databasen. Keepass har mig bekendt klienter til det hele.