Simpel lek onthult LastPass accountgegevens
Een beveiligingslek in de populaire wachtwoordtool LastPass zorgt ervoor dat aanvallers op eenvoudige wijze privégegevens en mogelijk ook wachtwoorden kunnen achterhalen. Lastpass is een "password manager" die inloggegevens voor websites in een versleutelde container bewaart en met een "master" wachtwoord beschermt. De tool kan wachtwoorden tussen verschillende browsers en machines synchroniseren.
De ontwikkelaar biedt ook verschillende browser-plugins en een webinterface om de opgeslagen inloggegevens te beheren. Onlangs werd de miljoenste LastPass-gebruiker verwelkomd. Alle miljoen gebruikers moet zicht ernstig zorgen maken, aldus de Britse beveiligingsonderzoeker Mike Cardwell.
Hij ontdekte een eenvoudig cross-site scripting (XSS) lek, waardoor een aanvaller allerlei vertrouwelijke gegevens kon stelen. Het ging om het e-mailadres, wachtwoord herinnering, sites om op in te loggen en geschiedenis van logins, waaronder ingelogde websites, tijd en data en het gebruikte IP-adres. Om de aanval te laten slagen moest het slachtoffer alleen op LastPass zijn ingelogd en vervolgens de website van de aanvaller bezoeken.
Gevaarlijk
De onderzoeker informeerde eerst LastPass, dat het probleem binnen drie uur verhielp. Toch denkt Cardwell dat een soortgelijk probleem zich eenvoudig in de toekomst weer kan voordoen. "Ik denk dat dit uiteindelijk een probleem binnen hun architectuur is." Wat betreft zijn eigen aanval erkent Cardwell dat de "heilige graal" voor een aanvaller de lijst met gebruikersnamen en wachtwoorden is. "Het is mij niet gelukt, maar ik weet zeker dat het te doen is."
Hij is dan ook teleurgesteld in LastPass, dat het systeem beter had moeten ontwikkelen door met XSS-problemen rekening te houden. Nu zorgen dit soort kwetsbaarheden ervoor dat een aanvaller meteen toegang tot zeer gevoelige informatie kan krijgen. "Misschien is het gewoon inherent gevaarlijk om je wachtwoordbeheer aan een derde partij te outsourcen."
Die in je hoofd !! ;-)
Die in je hoofd !! ;-)
Als ik uit het café kom heb ik twee problemen:
1) Ik weet mijn wachtwoorden niet meer
2) Als ik ze dan om één of andere reden toch nog zou herinneren, weet ik niet meer aan wie ik ze allemaal heb verklapt :-)
Ik vertrouw dus ook vooral mezelf niet ... of is dat een beetje "te" ?
Die in je hoofd !! ;-)
Maar XSS bescherming is wel hoog. :D
Die in je hoofd !! ;-)
Als ik uit het café kom heb ik twee problemen:
1) Ik weet mijn wachtwoorden niet meer
2) Als ik ze dan om één of andere reden toch nog zou herinneren, weet ik niet meer aan wie ik ze allemaal heb verklapt :-)
Ik vertrouw dus ook vooral mezelf niet ... of is dat een beetje "te" ?
.be dat verklaart een hoop ;-)
Beetje lachwekkend dus allemaal.. Slopen het werkende gedeelte uit xmarks en zetten het lekke gedeelte erin ;(
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
