O que torna o LastPass tão seguro?

Eu simplesmente não consigo entender como o LastPass é seguro. Tudo o que um invasor precisa fazer é comprometer a conta única do LastPass e, em seguida, ele também comprometeu todos os outros sites.

O que há de tão bom nisso em comparação com a abordagem tradicional de ter contas separadas por site?

É realmente melhor ter uma senha mestre forte, senhas fortes específicas de sites que podem ser acessadas através da senha mestre do que ter senhas mais fracas, mas diferentes em todos os sites?

Além de permitir que você crie senhas únicas e complexas para cada site, também oferecemos autenticação gratuita de segundo fator: Grade . Portanto, seu nome de usuário e senha não são suficientes para acessar seus dados quando o Grid é usado.

Além disso, suas senhas não são armazenadas nos gerenciadores de senhas do Firefox ou do IE, que geralmente são inseguros (basta executar nosso instalador e ver como podemos extrair todas as senhas).

Quanto ao armazenamento na nuvem, tudo é criptografado localmente antes de ser enviado ao servidor e sua chave nunca é enviada para nós. Você pode ler mais sobre como o mantemos seguro na página de tecnologia em nosso site.

Não considero o LastPass particularmente seguro (como qualquer coisa armazenada 'na nuvem'), prefiro uma solução local (por exemplo, KeePass ). A conveniência de ter acesso on-line às informações de login tem um preço inaceitável (pelo menos para os antigos paranóicos).

O que o torna seguro é simplesmente que eles não podem contar a ninguém quais são suas senhas, mesmo com uma arma na cabeça. Mesmo ao usar a interface da web, suas senhas são criptografadas localmente antes de serem transmitidas.

Sim, é verdade que ele fornece um "ponto único de falha", a menos que o Grid seja usado. No entanto, você pode ter uma senha mestra ridiculamente forte - quem se importa se você precisar digitar uma senha de 100 caracteres se a fizer apenas uma vez por dia? E como ele salva suas "sub senhas", você pode tê-las muito mais fortes do que normalmente.

Outra vantagem é que a maioria das pessoas não terá senhas diferentes para cada site (ou terá um padrão), e o LastPass permite que você evite isso. Portanto, considerando que antes de cada site em que você estava era um ponto de entrada em potencial para todos os outros sites em que você estava, agora apenas sua conta LastPass é. Quebrar qualquer "sub senha" não gera informações extras para um invasor.

Isso é útil porque você não tem idéia se os sites em que você está criptografam ou salgam sua senha. Eu poderia nomear um site com 11 milhões de usuários que armazena senhas não criptografadas em seus bancos de dados.

Finalmente, o LastPass oferece recursos como senhas únicas para acessar suas senhas em locais não confiáveis, o que mantém sua conta segura até mesmo dos keyloggers mais avançados.

Acabei de dar uma olhada rápida no site deles - acho que seus pontos estão corretos ... Se alguém quebra sua senha lá, eles têm todas as suas senhas - simplesmente agrega alguns recursos de alguns programas em um programa.

Ao olhar para lá, não há nada que me faça pensar que é "mais seguro" do que ter senhas separadas para sites diferentes - como você sempre será ... O último passe simplesmente facilita o gerenciamento.

Talvez seja útil saber que Steve Gibson (do Security Now! Fame) se referiu ao LastPass em um podcast :

... o que tenho a dizer é, penso, a melhor solução possível.

Atualmente, em seus mais de 600 episódios de segurança, Gibson lembra aos ouvintes que as melhores senhas são longas e longas. Neste podcast em particular, ele diz

... quanto mais longa sua senha, mais forte ela é

Nenhuma ferramenta de armazenamento de senhas on-line pode garantir segurança. Eles alegam que o mecanismo de armazenamento de senha à prova de host oculta as senhas do host e apenas o lado do cliente conhece a chave e o formulário descriptografado.

Mas a seguinte postagem no blog mostra uma falha nessa afirmação:

Uma razão pela qual não podemos confiar no armazenamento de senhas on-line

Usando o LastPass com o plug-in do Chrome, consegui extrair uma senha navegando até uma página de login, preenchendo a senha e inserindo o seguinte no console (pressione F12).

document.querySelectorAll("[type=password]")[0].value

Isso ocorre com autenticação de dois fatores e com a opção "exigir senha mestra para mostrar / copiar senha" ativada. Suponho que não seria difícil automatizar isso, o que significa que as senhas podem ser extraídas facilmente do LastPass, assim como outro armazenamento de senhas, contradizendo o que "Bob from LastPass" parece estar reivindicando.

Eu acho que o LastPass é considerado melhor que o gerenciamento manual de senhas por especialistas em segurança como Steve Gibson, simplesmente porque o risco de comprometimento de uma senha fraca / reutilizada ou de um keylogger genérico é maior que o risco de malware que está atacando especificamente o LastPass. Ainda assim, eu o usaria apenas para sites que posso perder, e nunca para serviços bancários / e-mail principal / Dropbox , etc.

Um gerenciador de senhas que exija autenticação de dois fatores para cada senha baixada do servidor (o LastPass exige apenas no primeiro login) limitaria o dano apenas às senhas usadas no computador infectado, mas não encontrei um gerenciador de senhas com essa opção ainda.