lastpass 怎么保证数据安全

[bigbyto]

类似于 lastpass 这种软件会在服务端储存密码，虽然有加密，但使用的是可逆的算法。之前 lastpass 也被入侵过，但却没有泄露密码。

怎样储存 key 才能保证被入侵也不会导致数据泄露?

[BOYPT]

safe from who?

[vicalloy]

你的密码就是加密的密钥。
你每次改密码都需要把你的所有密码重新加密一次。

[leafin]

key 就是你的 master password ，这个东西是没有保存在云端的

[nopy]

应该是把可以解密的密钥分开存储吧，减少同时被攻破的可能性，只有当你需要的时候才去读取。


@vicalloy
@leafin
Lastpass 在你忘记主密码的情况下也是可以解密数据的，可以“忘记密码”试试看。

[winterbells]

@nopy 忘记密码只能重置账户了，所有数据都没了
如果不需要密码就能读取还能说安全吗

[tghgffdgd]

@nopy 看帮助介绍，那个忘记密码，一个是发送给你你自己设置的密码提示信息给你，如果你还想不起来的话是要账号恢复是把数据还原到之前的设置的密码，也就是旧数据，如果这个密码你也不知道就跟你的数据说 byebye 了

[kikyous]

lastpass 最近的升级感觉更好用了

[sephinh]

@tghgffdgd 确实，刚试过，几年前用了一下最近又想再用，密码忘了，找回密码，只是给你自己设的密码提示，如果还不知道那就只能给你发个邮件给个链接但只能用你已安装过插件的机器读取数据进行恢复，但是如果你已经没有安装过 lastpass 的机器，那就真拜拜了，我上次用都不知道那台电脑了，早没了，最后没招了开了网页在登录试密码一直密码错误，但插件登录不知道怎么给登上去了，然后才恢复了

[nopy]

@winterbells
@tghgffdgd
又看了一下，如果忘记主密码必须要登录过的设备（除移动设备）才能恢复主密码
https://lastpass.com/support.php?cmd=showfaq&id=375

也就是说， LastPass 会在每一个登录过得设备（除移动设备）上生成一个"local One Time Password"，通过这个也能解密数据。

以前的确有一次忘记主密码，然后就恢复了数据，一直以为不是用主密码加密的……

[bigbyto]

@all
谢谢大家的回答，大概知道用什么方案去实现了。

[bigpigeon]

加盐慢 hash,即使服务器呗入侵，也只能拿到一堆无用的加密字符，因为慢 hash 的关系,彩虹表也不顶用

[wske]

看了一下，我已经用了整整六年 lastpass premium 服务了，还会继续用下去。。
但是重要的数据也有用 Keypass 备份。

[msg7086]

「虽然有加密，但使用的是可逆的算法」

你一定是在逗我。

[bigbyto]

@bigpigeon hash+salt 当然是最安全的加密方式，不过 hash 是不可逆的，现实的需求是需要还原原本的密码。看来安全的做法也只能把用户的密码作为 key 再对用户的密码做加密处理。

[SpicyCat]

密码安全也要分级。一般网站的密码，跟钱无关的密码，用 lastpass. 银行密码，支付宝交易密码啥的，能自己记就自己记，就算用密码管理器也用 keepass 之类离线的开源的管理器。