Door johanw: Dus LastPass kan zelf ook aan die wachtwoorden? De overheid van het land waar die opgeslagen zijn kan er dus ook bij. Dat is weer een veilige optie minder (en na die hack van laatst hadden ze toch al een imago issue). Lastpass hanteert een Zero Knowledge model en heeft alleen versleutelde data op hun servers staan maar geen encryptiesleutels. Er wordt alleen een hash van de encryptiesleutel gebruikt voor de authenticatie. The user’s master password, and the keys used to encrypt and decrypt user data, are never sent to LastPass’ servers, and are never accessible by LastPass. We hash both the username and master password on the user’s computer with 5,000 rounds of PBKDF2-SHA256, a password strengthening algorithm. That creates a key, on which we perform another round of hashing, to generate the master password authentication hash. That is sent to the LastPass server so that we can perform an authentication check as the user is logging in. We then take that value, and use a salt (a random ...