Det kan være en træls opgave at skulle huske en unik adgangskode til alle de websteder, der kræver login. Derfor kan et browser-plugin som Lastpass lyde som en god idé, fordi det gør det muligt at logge på de mange websteder med blot ét enkelt kodeord.
Men man lægger også alle sine æg i samme kurv, som brugerne af Lastpass nu må sande. Firmaet bag nemlig måttet udsende en advarsel om, at hackere muligvis er sluppet af sted med de hash-krypterede master passwords. Det oplyser Lastpass på dets blog.
Ifølge Lastpass opdagede firmaet en mistænkelig trafik på netværket tirsdag morgen, som ikke kunne spores til en medarbejder eller kørende proces. Samtidig opdagede Lastpass en udgående trafik fra en af firmaets databaser.
Datamængden er stor nok til, at hvem der end har været inde i systemet, kan have downloadet brugernes e-mailadresser og deres master passwords i hash-form.
En hash-kryptering er en metode til at repræsentere eksempelvis en klartekst med en unik værdi, som ikke umiddelbart er reversibel i modsætning til decideret kryptering. Hashværdien bruges til at verificere, at brugeren indtaster det korrekte kodeord.
Da der ikke er tale om et kodeord i klar tekst, så vil hackerne først skulle lave et brute force-angreb, hvor de tager en liste af kodeord samt et tilfældigt tal, kaldet et salt, og kører det gennem hash-algoritmen, hvorefter værdierne kan sammenlignes med de stjålne hash-værdier.
Det er en metode, der er meget krævende, hvis brugerne har anvendt unikke, sikre kodeord. Hvis brugerne derimod anvender et simpelt kodeord, så kan processen klares på forholdsvis kort tid, alt efter hvilken algoritme der er tale om.
Det er det samme problem, som brugerne af Sonys onlinetjenester Playstation Network og Sony Online Entertainment står over for, efter det omfattende indbrud i Sonys systemer, som kan have berørt mere end 100 millioner brugere.
Da Lastpass giver brugerne adgang til mange tjenester ved hjælp af ét login, så vil et knækket kodeord til Lastpass også give adgang til alle de tjenester, hvor brugeren benytter Lastpass.
Lastpass tvinger derfor nu alle brugerne til at ændre deres kodeord, og skifter samtidig til en nyere hash-algoritme. Lastpass vil nu bruge SHA-256-algoritmen med et 256-bit salt med 100.000 gennemløb. Selskabet understreger også, at det ikke har konkrete beviser for, at kodeordslisten er blevet stjålet, men at selskabet vælger at antage det værste.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
