http://www.mikrobitti.fi/2016/01/lastpass-salasananhallintaohjelmassa-vakava-vika-rikolliset-voivat-saada-haltuunsa-kaiken/
"”Olen havainnut kalasteluhyökkäyksen LastPass-ohjelmistoa vastaan, joka antaa rikollisille mahdollisuuden saada haltuunsa käyttäjän sähköposti, salasana ja jopa kaksiosaisen autentikointikoodin, jolla rikollinen pääsee käsiksi kaikkiin LastPassiin tallennettuihin tietoihin ja salasanoihin. Kutsun tätä hyökkäystä nimellä LostPass.
”LostPass-hyökkäys on mahdollinen, sillä LastPass esittää selaimessa viestejä, jotka hyökkääjä voi väärentää. Käyttäjät eivät voi erottaa LostPass-hyökkäystä aidosta, sillä niillä ei ole minkäänlaista eroa, vaan ne ovat pikselilleen tarkkoja kopioita sisäänkirjautumissivusta”, Cassidy selittää."
"”Olen havainnut kalasteluhyökkäyksen LastPass-ohjelmistoa vastaan, joka antaa rikollisille mahdollisuuden saada haltuunsa käyttäjän sähköposti, salasana ja jopa kaksiosaisen autentikointikoodin, jolla rikollinen pääsee käsiksi kaikkiin LastPassiin tallennettuihin tietoihin ja salasanoihin. Kutsun tätä hyökkäystä nimellä LostPass.
”LostPass-hyökkäys on mahdollinen, sillä LastPass esittää selaimessa viestejä, jotka hyökkääjä voi väärentää. Käyttäjät eivät voi erottaa LostPass-hyökkäystä aidosta, sillä niillä ei ole minkäänlaista eroa, vaan ne ovat pikselilleen tarkkoja kopioita sisäänkirjautumissivusta”, Cassidy selittää."
Vastaukset 23
Vanhimmat
LastPassissa on näitä turvaongelmia aina silloin tällöin. Toivottavasti kukaan ei suosittele aloittelijoille tuollaisen ohjelman käyttöä.
http://fin.afterdawn.com/uutiset/artikkeli.cfm/2015/06/15/lastpass-salasana-murto
"Suosittuun salasanahallintapalveluun tunkeuduttiin"
Veikkaan, että kohta alkaa vittumitäpaskaa ja lololoo...
No sehän on päivänselvää ettei kannata laittaa kaikkia munia samaan koriin.
"No sehän on päivänselvää ettei kannata laittaa kaikkia munia samaan koriin."
On aika vaikea ymmärtää ideaasi:
1) Todennäköisyys: jos olisi keskimäärin vaikka 1/1000 todennäköisyys, että ohjelmassa on tietoturva-aukko joka vuotaa salasanoja, niin käyttämällä vain yhtä ohjelmaa riski olisi 1/1000. Käyttämällä vaikka viittä ohjelmaa, riski olisi 5/1000, eli viisinkertainen.
2) Jos suojaus murretaan, onko sillä jotain merkitystä vuosiko 20%, 50% vai 100% salasanoista. Joka tapauksessa ne joutuu vaihtamaan. Lisäksi salasanojen tallentelu sinne tänne tekee käytöstä vaikeampaa. Varmuuskopio salasanoista toki pitää olla jossain tietokoneen ulkopuolella, vaikka tallelokerossa paperilla.
Minulla on kaikki salasanat, tuotteiden lisenssikoodit ja muut vastaavat tiedot kryptattuna ja aina saatavissa, missä olenkin. Varmuuskopio on hyvässä tallessa koneen ulkopuolella.
Kaikki munat samassa korissa tarkoittaa sitä, että kun lastpass vuotaa, kaikki salasanat menee vaihtoon.
Normaalisti, kun sinulla on salasana kuhunkin palveluun, jos jokin palvelu menee persiilleen, vaihdat salasanan sinne ja siinä se.
Sitten tietysti jos oma kone on se heikko kohta, mitä se toki useimmissa tapauksissa onkin, niitä salasanoja voi joutua vaihtamaan enempi.
En mie tiiä mistä sie vetäisit tuon todennäköisyyden ja onko sillä mitään totuusarvoa. Mutta fakta lienee se, että LastPass on hyvin yleinen salasanojen säilytyspalvelu, mikä tekee siitä erittäin todennäköisen hyökkäyskohteen.
Onko kyse LastPassin aukosta, vai jonkin muun sen kanssa yhdessä käytettävän ohjelman / palvelun aukosta, sekin merkitsee.
No voi kai lastpassissa ihan tyytyväisenä vähemmän tärkeitä salasanoja säilyttää. Tärkeimmät salasanat pitäisin vain omassa päässä. :)
"Normaalisti, kun sinulla on salasana kuhunkin palveluun, jos jokin palvelu menee persiilleen, vaihdat salasanan sinne ja siinä se."
Totta. Ongelmaksi muodostuu vain usein se, että ensinnäkin itsekirjoitettavat salasanat ovat usein varsin lyhyitä/heikkoja ja toisaalta se, että moni käyttää muistinsa tukena samoja salasanoja melkein joka paikassa. Uskaltaisin väittää jopa niin, että selvä enemmistö ihmisistä tekee näin.
En tiedä miten Lastpass toimii, joten en ota siihen kantaa, mutta F-secin Key säilyttää salasanoja kryptatussa muodossa (ymmärtääkseni sekä palvelimella, että laitteissa johon se on asennettu) jolloin niihin ei pääse käsiksi vaikka murtautuisi palvelimeen. Jos murtautuu tietokoneelle niin että näkee kaiken mitä koneella tehdään, näkee salasanat todennäköisesti joka tapauksessa, vaikka ne kirjoittaisi itse manuaalisesti (keylogger)
"Sitten tietysti jos oma kone on se heikko kohta, mitä se toki useimmissa tapauksissa onkin, niitä salasanoja voi joutua vaihtamaan enempi."
En ole törmännyt koskaan tilanteeseen, enkä kuullut tilanteesta, että joltain olisi käytännössä varastettu salasanat kotikoneelta keyloggerilla ja niitä käytetty. Toki tällaisia on tapahtunut, mutta sanoisin että hyvin harvinaisesta tilanteesta on kyse. Täytyy olla todella huonoa onnea, että joutuisi tällaisen tapauksen takia salasanansa vaihtamaan. Ennemmin nuo varkaat yleensä palvelimiin iskevät ja sieltä käyttäjien tiedot varastavat. Jos mukana menee salasana ja samaa käyttää vähän joka paikassa, niin siinä sitten onkin jo oikea riski.
"En mie tiiä mistä sie vetäisit tuon todennäköisyyden ja onko sillä mitään totuusarvoa. "
Siis se 1/1000 oli täysin esimerkki pointtini takia, mutta tosiaan mikä ikinä se todennäköisyys onkin keskimäärin, niin mitä useampaa ohjelmaa käyttää, sitä todennäköisempää että ainakin yksi niistä vuotaa.
"Mutta fakta lienee se, että LastPass on hyvin yleinen salasanojen säilytyspalvelu, mikä tekee siitä erittäin todennäköisen hyökkäyskohteen."
Se on totta
"Onko kyse LastPassin aukosta"
Tässä tilanteessa kyse ei ymmärtääkseni ollut niinkään aukosta, vaan siitä että ohjelman käyttöliittymä on sellainen, joka voidaan helposti väärentää ja saada näyttämään täysin aidolta, vieläpä niin että väärennetty ikkuna saadaan esiin luonnollisen oloisessa tilanteessa, jolloin kokeneenkin käyttäjän pitää olla hyvin skarppina ettei tule huijatuksi.
Aina voi ottaa CD (R)/Dvd (R)-Linuxin ja ajaa sitä livenä niissä tärkeissä tapauksissa ja kaiva salasanat kotoa mistä sitten kaivaakin.
Joo eihän ne salasanat selväkielisenä taida olla juuri missään, eivät edes siellä pavelussa missä niitä kysytään.
Mutta se mitä ajattelin on se, että miten sitä salasanamuistia käskytetään?
Jos se kysyy yhden salasanan, joka sitten aukaisee käytettäväksi kaikki salasanat, niin sitä ajoin takaa sanonnalla kaikki munat samassa korissa. Kaikki salasanat yhden tunnistumisen takana? Se on vain vähän parempi kuin sama salasana joka paikassa?
Joo en minäkään tietoturvallisia salasanoja käytä kuin kriittisissä / tärkeissä palveluissa. Eli sellaisissa, joissa voi mennä rahaa jos se salasana pääsee vääriin käsiin tai sitten jos palvelu on muuten tärkeä. Tällaisia kohteita on ehkä yhden käden sormin laskettava määrä.
Pankki, PayPal, sähköposti, kenties Steam kauppa ja muutama muu . . .
Paljon riippuu siitä, missä säilyttää sitä ainoaa munakoriaan. Pilvessä kaikkien räplättävänä (LastPass) vai omalla koneella hyvässä turvassa (KeePass).
Ei mikään suuri ongelma:)
Perustelisitko, miten niin ei mikään suuri ongelma.
Minua jo vuosikausia sitten epäilytti erityisesti LastPassin toiminta.
Tämän vuoksi käytinkin Keepass ohjelmaa. Nykyään tosin hieman erilaiset systeemit.
t. Aito Suomen Snowden
Mutta varsin huonot systeemit:)
Taas mutua ilman mitään perusteluita.
Missä vapunen, siellä mutuilu
Käy ostamassa pukamavoidetta ja uimalakki. Tukka pois, voide päähän, lakki myös ja saunaan. Auttaa ongelmissasi.
"░█░░░░▀▀▄░█░░░█░█▀█▀█▀██░█
░░░░░▀▄░░░░░▀▀▄▄▄█▄█▄█▄█▄▀░░█"
Ennen oli dollarihymy ja ruplairvistys.
Mahtaako kukaan arvata mikä tuo on?
vapusen turpavärkki
Kymmenen pistettä ja papukaijamertti!
Enpä luovuta yhtäkään salasanaa mihinkään palveluun.
Olet jo luovuttanut:)
Muuten, Bittisky, miksi sinä spämmäsit koko viikonlopun niitä vittumitäpaskaa -viestejä?
Mihin olen luovuttanut?