发现 lastpass 一个不合理设定

[sa2852]

今天我在使用编辑站点信息的时候，发现了一个不合理设定或者说安全漏洞。

一般情况下我编辑站点信息的时候，显示密码是需要输入主密码的，

但是我发现点击显示密码旁边的历史记录，可以不用输入主密码将所有历史密码全部显示出来！

http://img.ly/system/uploads/009/436/223/large_QQ%E6%88%AA%E5%9B%BE20160408085549.jpg

http://img.ly/system/uploads/009/436/224/large_QQ%E6%88%AA%E5%9B%BE20160408090117.jpg

[tony1016]

显示密码需要主密码吗？

[sa2852]

@tony1016 我这里是需要的。

[dallaslu]

莫非 lastpass 认为历史密码没有当前密码重要？

[jemyzhang]

密码修改的好勤快

[Slienc7]

显示密码需要主密码吗？

认为不合理应该给直接联系 LastPass ，发到这里能解决什么问题？

[lxy42]

我的好像不用啊

[chenliang0571]

你每次自动填充密码都要输入主密码？？

[sa2852]

@Slienc7 先发了 lastpass 才到这里发的，发这里是看看有没有其他人有这个问题，如果你觉得碍眼，不送。

[sa2852]

@chenliang0571 自动填充密码和编辑站点的显示密码不是一回事。

[sa2852]

@jemyzhang 其实是修改密码的时候，失败了几次，然后又自动替换了旧密码。所以会有多个历史密码。

[wclebb]

历史密码是有用的……如果修改密码失败，你认为你能记得之前的密码吗？还是说，你觉得显示密码不对？可是你进来时也需要输入主密码耶……

[yangqi]

囧，设置里可以改的啊

[chenliang0571]

@sa2852 但是安全级别是一样的，假设一个陌生人想来看你密码，发现在 lastpass 无法显示密码，因为要输入主密码。于是他就打开对应的网站， lastpass 自动填充了密码，这个陌生人按了 F12 ，找到表单，还是能看到密码。

[SoloCompany]

在你设置的（闲置自动退出）超时之前，查看任何密码要求输入主密码都是多此一举的事情，肯定是你自己弄错了什么；如果有人觉得这样更「安全」，那就只能是骗骗小白毫无意义的所谓「安全保障」，至于为什么，可参考 13 楼

再次说明，不要把物理攻击和安全漏洞混淆在一起，这两个不是一个级别的东西，正确的保障安全的姿势，是不要随便把你自己的电脑交给别人，人离开应该需要自动锁屏来保障（ MacId ， Nearlock 自选）

[gutianyun]

可以设置，显示密码，需要输入主密码，