搜索

[9033] 2015-06-16_在线密码管理器LastPass遭入侵

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-06-16_在线密码管理器LastPass遭入侵 在 线 密 码 管 理 器 L a s t P a s s 遭 入 侵 F r e e B u f   2 0 1 5 - 0 6 - 1 6 微 信 号 ： 微 信 号 ： f r e e b u f L a s t P a s s 致 用 户 ： 请 更 改 你 的 主 密 码 ， 并 立 即 启 用 双 因 素 身 份 验 证 ！ 作 为 当 前 全 球 最 热 门 的 密 码 保 管 服 务 之 一 ， 作 为 当 前 全 球 最 热 门 的 密 码 保 管 服 务 之 一 ， L a s t P a s s 公 司 周 一 警 告 称 ， 攻 击 者 攻 破 了 运 行 公 司 密 码 管 理 服 务 的 设 公 司 周 一 警 告 称 ， 攻 击 者 攻 破 了 运 行 公 司 密 码 管 理 服 务 的 设 备 ， 并 盗 取 了 用 户 的 受 保 护 密 码 及 其 他 敏 感 的 数 据 。 这 是 在 过 去 四 年 中 该 服 务 器 第 二 次 发 生 数 据 泄 露 情 况 。 备 ， 并 盗 取 了 用 户 的 受 保 护 密 码 及 其 他 敏 感 的 数 据 。 这 是 在 过 去 四 年 中 该 服 务 器 第 二 次 发 生 数 据 泄 露 情 况 。 L a s t P a s s 用 户 数 据 泄 露 用 户 数 据 泄 露 L a s t P a s s   C E O   J o e   S i e g r i s t 在 博 客 中 写 道 ： 总 之 ， 未 知 的 攻 击 者 获 得 了 用 户 哈 希 密 码 、 加 密 加 盐 、 密 码 提 示 以 及 电 子 邮 箱 地 址 。 他 强 调 没 有 证 据 显 示 攻 击 者 能 够 进 入 存 放 用 户 纯 文 本 密 码 的 地 方 。 因 为 这 些 数 据 库 的 主 密 码 受 到 保 护 ， 而 破 解 需 要 极 大 的 运 算 量 。 “ 我 们 相 信 我 们 的 加 密 措 施 足 以 保 护 绝 大 多 数 的 用 户 ， L a s t P a s s 对 认 证 哈 希 加 强 了 防 护 ， 采 用 了 随 机 因 子 并 在 客 户 端 外 的 P B K D F 2 - S H A 2 5 6 服 务 器 端 实 施 了 1 0 万 个 循 环 。 这 将 显 著 提 高 快 速 攻 击 被 盗 哈 希 的 难 度 。 ” 相 比 之 下 ， 很 多 网 站 使 用 的 极 速 散 列 算 法 ， 只 提 供 最 低 限 度 的 保 护 。 这 是 在 L a s t P a s s 工 作 人 员 发 现 他 们 服 务 器 日 志 存 在 网 络 漏 洞 的 四 年 后 。 2 0 1 1 年 受 影 响 的 数 据 包 括 访 问 哈 希 密 码 、 底 层 密 码 加 盐 以 及 用 户 的 电 子 邮 件 信 息 。 同 年 ， 一 位 安 全 研 究 员 发 现 了 L a s t P a s s 网 站 中 的 一 个 X S S 漏 洞 ， 攻 击 者 能 够 窃 取 用 户 的 敏 感 数 据 。 信 息 存 在 泄 露 风 险 ， 包 括 电 子 邮 箱 地 址 、 密 码 提 示 、 用 户 登 录 的 网 站 列 表 、 时 间 、 日 期 以 及 I P 登 录 地 址 。 而 L a s t P a s s 对 漏 洞 进 行 了 及 时 修 复 。
官 方 建 议 官 方 建 议 L a s t P a s s 建 议 ： 该 服 务 的 所 有 用 户 都 需 要 设 置 新 的 主 密 码 ， 而 如 果 用 户 已 开 启 两 步 验 证 功 能 ， 那 么 所 有 从 新 设 备 或 新 I P 地 址 登 录 帐 号 的 用 户 都 需 要 通 过 电 子 邮 件 去 验 证 身 份 。 如 果 用 户 采 用 较 弱 主 密 码 ， 重 置 主 密 码 尤 为 重 要 ， 因 为 这 类 的 密 码 更 容 易 被 黑 客 破 解 。 如 果 用 户 还 将 这 一 主 密 码 用 于 其 他 多 个 网 站 的 帐 号 ， 那 么 也 应 当 在 相 应 网 站 上 修 改 。 攻 击 者 必 然 重 新 掀 起 关 于 将 密 码 存 在 云 端 的 争 论 风 暴 。 即 使 密 码 受 到 强 大 的 保 护 ， 专 家 认 为 当 它 们 在 经 过 L a s t P a s s ， 云 仍 然 是 一 个 不 适 合 储 存 的 脆 弱 环 境 。 再 说 ， 终 端 用 户 的 电 脑 也 是 出 了 名 的 易 攻 破 ， 因 此 敏 感 数 据 的 安 全 天 堂 是 很 难 真 的 存 在 的 。 而 一 项 长 期 记 录 数 据 显 示 ， 使 用 任 何 密 码 管 理 器 的 风 险 都 显 著 存 在 的 ， 从 而 加 剧 了 密 码 的 困 境 ， 在 特 定 密 码 管 理 器 中 的 漏 洞 使 得 攻 击 者 得 到 库 中 的 内 容 。 专 家 ： 无 需 担 心 专 家 ： 无 需 担 心 密 码 专 家 J e r e m i   G o s n e y 说 ： “ 现 实 世 界 里 ， 终 端 用 户 的 泄 露 风 险 是 最 小 的 。 L a s t P a s s 中 1 0 0 0 0 0 循 环 的 哈 希 程 序 是 他 见 过 的 最 强 大 的 。 ” 另 一 位 专 家 G o s n e y 写 道 ： “ 目 前 攻 击 者 破 解 G P U 密 码 最 快 可 以 每 秒 猜 测 不 到 1 0 个 哈 希 密 码 。 这 是 很 慢 的 ！ 甚 至 弱 密 码 也 是 在 一 个 相 当 安 全 的 保 护 水 平 下 （ 除 非 你 用 的 是 一 个 荒 谬 的 弱 密 码 ） ， 而 这 还 没 有 考 虑 可 由 用 户 配 置 的 客 户 端 数 量 迭 代 。 默 认 值 为 5 0 0 0 次 迭 代 ， 我 们 至 少 能 看 到 1 0 5 0 0 0 次 迭 代 。 而 我 实 际 上 设 置 了 6 5 0 0 0 此 迭 代 ， 所 以 总 共 有 1 6 5 0 0 0 次 迭 代 D i c e w a r e 密 码 保 护 。 所 以 ， 我 绝 对 不 会 紧 张 。 我 甚 至 不 认 为 我 需 要 变 更 我 的 主 密 码 。 ” L a s t P a s s 帮 助 用 户 保 存 多 个 网 站 的 密 码 ， 随 后 自 动 登 录 这 些 网 站 ， 因 此 用 户 将 没 有 必 要 再 记 忆 多 个 单 独 的 密 码 。 L a s t P a s s 还 提 供 了 一 款 工 具 ， 用 于 生 成 复 杂 密 码 串 ， 而 用 户 只 需 记 住 主 密 码 即 可 使 用 该 服 务 。 不 过 ， 这 样 做 的 安 全 性 取 决 于 L a s t P a s s 没 有 被 黑 。 * 参 考 来 源 ： A r s ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理