LastPass 的密码库泄露了,还在用的同学建议尽快采取措施

2022-12-23 20:12:57 +08:00
 Nile20

刚刚 Chrome Android 给我推了一片博文,提到了 LastPass 的密码库泄露了。我去看了一下 LastPass 的公告

主要信息:

还在用 LastPass 的同学建议尽快考虑换到别的密码管理器,特别是你的 LastPass 主密码并不是专用的或者强度不够的情况。至少亡羊补牢吧

(无关吐槽:LastPass 到今天真的是咎由自取。我以前是付费用户,当时只要 1$一个月,还参与过 LastPass 扩展程序的本地化翻译。后面涨价、强制 PC 移动二选一、放弃中文语言支持各种无语操作,最后在今年 5 月的时候因为选项里的隐藏右键菜单功能完全不工作,换到了 BitWarden )

原文: https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/

4485 次点击
所在节点    分享发现
27 条回复
tenfly001
2022-12-23 20:23:23 +08:00
不如直接 1Password
zjp
2022-12-23 20:25:35 +08:00
下午已经删了帐号,原因写的是 data leak...
删除前导出数据也是很难用
wikinee
2022-12-23 20:28:08 +08:00
用了好几年,后来收费了限制移动端,我就转投微软 authenticator ,现在全部上 edge 。国产这边本来想用 360 ,但是他们不支持多端密码同步,嗯…
Track13
2022-12-23 20:47:46 +08:00
从浏览器拓展删除中文的时候就删除账号了。
wu67
2022-12-23 20:51:56 +08:00
之前我就删号了, 现在不重要的我直接写 csv, 重要的用脑子记同一个复杂密码
MeteorVIP
2022-12-23 20:57:50 +08:00
我也收到过两次邮件,英文没看懂。原来是秘密泄露了。如果我很懒去搬秘密的话,改主秘密是不是可以解决?
Nile20
2022-12-23 21:04:27 +08:00
@MeteorVIP 并不能……攻击者拿到了 LastPass 的数据库,你改主密码只能对今后的数据生效。如果此前你的主密码不够安全,比如在别的网站使用过或者是弱密码的话已经无济于事了
PrinceofInj
2022-12-23 21:53:15 +08:00
还好我看到八月份的新闻后把 lastpass 上的密码都删了。之前不用好久了,但是一直没删除内容。这下怕是 lastpass 要破产了。
MeteorVIP
2022-12-23 21:59:03 +08:00
泄露了数据库,但主秘密没有泄露。黑客需要猜到我的主秘密才能解密出我所有的秘密,对吧?
Nile20
2022-12-23 22:08:02 +08:00
@MeteorVIP 是的
ixinshang
2022-12-23 22:58:46 +08:00
感觉这家 都成密码泄露常客了?
infinityv
2022-12-23 23:06:22 +08:00
明天研究下 bitwarden
patrickyoung
2022-12-24 02:08:06 +08:00
但是,你们一定没有上 Twi 看。有圈内相对有威望的人研究了这玩意的本地存储。结论是:密码的元数据( URL 名字,和所谓的 Secured Notes) 都没有加密存储,只有用户名和密码是加密的。懂点社工的可能现在已经意识到问题了。
patrickyoung
2022-12-24 02:09:34 +08:00
我重点想提的是: URL 里可能有的 Token/SessionID; Secure Notes 里潜在的 2FA Recovery Code/密保问题答案等等。
kenpuluma
2022-12-24 07:53:53 +08:00
虽然我强烈推荐 bitwarden ,但人家这篇 blog 明显说的是之前那次泄露的调查进展。。可见有多少人不懂英语 /不仔细看内容
benedict00
2022-12-24 08:21:38 +08:00
联网的都不如 keepass
ouou0701
2022-12-24 17:46:21 +08:00
家用 nas 架设 bitwarden 服务,感觉很好用
Nile20
2022-12-24 22:17:53 +08:00
@patrickyoung 我确实没有上 Twitter 看,因为我没有在用了,所以没有特别关注。LastPass 的公告里说 Security Notes 是加密的
The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data.

刚刚上 Twitter 看了一下,找到的也是说 Secure Notes 是加密的,你看到的推文能指路个链接么?
URL 这个确实是问题,URL 也可能包含敏感信息。
libook
2022-12-26 14:26:53 +08:00
LastPass 的安全事故都快成月经问题了……到现在还没倒闭也挺命硬的了。
我也曾经是付费大冤种,后面客户端摆烂之后就全数迁移到自建 Vaultwarden 了。

LastPass 和很多主流密码库一样都是本地加解密机制,理论上云端服务器上只存储加密后的数据,所以理论上只要主密码不被人撞库就没问题。
lookStupiToForce
2022-12-26 17:40:44 +08:00
身为 lastpass 大冤种
现在还在使用它的唯一原因就是拖延症......

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/904363

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX