Klikt weer als een standaard PR-bericht:


Tot dat ze schoorvoetend moeten toegeven dat er toch ietsje meer aan de hand was...

Hoedjes in de wolken en maar niet opletten. Tsja.

Was weer een goeie reminder voor me om met al die cloudmeuk te stoppen... :)

Hier lekker KeePass zonder cloud ;)

Ik gebruik LastPass en vertrouw ze. Ze slaan je master password op met zout en het beste hashing algoritme van het moment. De reden dat LP je password hasht is natuurlijk omdat ze ervan uit gaan dat ze gekraakt kunnen worden, anders was hashing helemaal niet nodig. Nu die mogelijkheid tot kraken bewaarheid is (ze zijn in het goede gezelschap van het Witte Huis, Merkel, Kaspersky, Amerikaanse federale personeelszaken, ...) zie ik de de reden voor de ophef niet. LP heeft binnen twee dagen meegedeeld dat je je master password moet veranderen, wat ik zojuist gedaan heb. Als de hackers over een paar jaar (eeuwen?) mijn vorige password (lengte 32 tekens) ontcijferd hebben, levert het ze niks op. Dus, geen paniek, tenzij je master password "geheim" of "123456" is.

Gelijk veranderd,en wat voor alternatief heb je om dit te mijden.

Zo moeten gebruikers die vanaf een nieuw apparaat of IP-adres inloggen eerst hun account via e-mail verifiëren, tenzij multifactor-authenticatie staat ingeschakeld.

Waar kan dit vinden ?


Paswoordmanager ?
Hier heb ik ook mijn twijfels over.

Je kon erop wachten, een online password manager; dan verdien je het ook.

Ja, maar de tegenmaatregelen, voor het geval dat, waren ook bekend! Zo zijn er zelfs geen wachtwoord hashes uit de kluizen buitgemaakt.

Ik heb voor de zekerheid (zie onderaan) mijn wachtwoord veranderd. Maar lastpass zendt NOOIT een wachtwoord naar de server, ook niet om in te loggen. Hoe ze inloggen dan wel doen is een lang verhaal, maar in principe wordt het wachtwoord op de cliënt gezouten en gehashed*5000 of zoiets, en dat gaat naar de server. Dan doet de server nog een hash*100.000 (ook gezouten) en dat resultaat wordt op de server opgeslagen. En dat is de hash die hackers nu hebben. Veel geluk ermee.

Ik zie 3 redenen om het master wachtwoord toch te veranderen:
1- Je hebt een zinvolle hint gebruikt. Deze is buitgemaakt in klare text, in mijn geval onzin. En het is slechts een hint, dus niet een mogelijkheid om via een vraag alsnog binnen te komen
2- De hackers zouden kunnen proberen de hash te kraken. Omdat ze er vermoedelijk een paar miljoen hebben, zouden ze met geluk op dag/mnd 1 er een paar kunnen raden. En je wilt niet dat jouw wachtwoord daarbij zit
toegevoegde 3-de reden 17/6
3- Je master wachtwoord komt waarschijnlijk voor op lijsten met bijvoorbeeld miljoenen buitgemaakte wachtwoorden. Dit is waarschijnlijk als het wachtwoord niet random en niet lang is, dus zwak is. (zie ook mijn reactie 21:04 uur)

Verder niets aan de hand, het risico dat mijn laptop wordt gestolen en ze zo binnenkomen is veel groter lijkt mij.

Ook heel handig en slim om zomaar een website zoals "LastPass" te vertrouwen en al je wachtwoorden aan te geven.
Misschien was deze hack wel een insider gewoon omdat ze alles graag wilde hebben, zonder dat het opviel.

Leer hier van mensen. Sla alles op een USB stick/hdd op en versleutel het met een lekker lang wachtwoord.
Niemand die je dan de wachtwoorden zal stelen, of je wachtwoorden in gevaar brengt ...

Dit is precies de reden dat een account beveiligen met niets anders dan een wachtwoord achterhaald is. Ik gebruik om op Lastpass in te loggen 2-way authentication en heb voor de Google Authenticator gekozen. Open source, geen connectie of zo met Google als je inlogt en de app voor OS-X en Android is gratis.

Mooie van Google Authenticator is dat het ook voor bijv. een login op een Wordpress site te gebruiken is, je SSH inloggen er mee kan beveiligen en dus ook het inloggen op website. Ik heb geen enkele verbintenis met Google maar over de Authenticator ben ik zeer te spreken. Een keurig stukje Open Source software en inmiddels ook door bijv. RedHat in hun Linux distro's meegeleverd.

Insiders kunnen niets doen in het geval van end to end encryptie, en dat gebruikt LasPass. Je geeft je wachtwoorden dus niet aan LP, maar je geeft een encrypted container. Ofwel je geeft een kluis die gesloten is, net zoals een kluisje bij een bank ......

Juist om dit soort problemen gebruik ik LastPass in combinatie met de Yubikey voor two factor authentication.

Verder voor de weer vele zogenaamd "deskundige" en meestal anonieme commentatoren: Lees voor de grap het goed onderbouwde commentaar van "13:28 en 15:07 door Dick99999" eens voordat je ons hier met je "deskundigheid" komt vervelen. Wellicht steek je daar nog wat van op.

Ik (de Anoniem van 10:54) ben het geheel met Dick99999 en sloepie eens. Er is nu gebeurd waarvan LastPass wist dat het kon gebeuren en waartegen zij zich uitstekend beschermd hebben. Het zal mij niet verbazen als het weken/maanden van zware berekeningen kost om de hash van zelfs het zwakste password te breken.

Toen ik over lastpass hoorde en zijn functies dacht ik meteen van "my gosh" en het moment is nu aangebroken. Gelukkig heb ik altijd van dit kut programma afgebleven, ook al werd het me aangeraden om het te gebruiken! Wie slaat dan ook zijn passwoorden op op het internet. Internet = NoPrivacy. Ook al zijn ze versleuteld, alles valt te kraken. Je kan makkelijk zeggen dat het miljoenen jaren duurt om een sterk versleuteld bestand te kraken, maar als een slimmerik het toch toevallig in korte termij (wat al heel vaak is gebeurt), duurt het kraken nog maar 1 dag. Oftewel een spion aanwezig op lastpass.

Je weet duidelijk niet waar je over praat. Wachtwoorden in de databsae van LP zijn niet gehashed anders kun nen ze nooit het juiste wachtwoord meer terug halen om deze door te geven aan de applicatie/website waarop je wil in loggen.

Mvg,
Jacco

Anoniem schrijft niet dat dat wachtwoorden in de database gehashed worden, wel dat het master password gehashed wordt (en wel zeer complex). En dat is geheel correct!

Hashing gaat relatief snel, ont-hashen kan bij LP alleen door kraken en dat duurt zeer, zeer lang in dit geval. Echter, als elk wachtwoord van een lijst met 1 miljoen meest gebruikte wachtwoorden gebruikt en gehashed wordt, is dat makkelijk te vergelijken met de hashcodes die buitgemaakt zijn (ook het zout en email-zout is namelijk gestolen). Een kwestie van 1 of een paar uur of zo.

Daarom moet het master (kluis)wachtwoord of beter een wachtzin van 5 of meer willekeurige woorden), beslist niet voorkomen op dat soort lijsten. En reken maar dat zwakke wachtwoorden op die lijsten staan en dat hackers nu deze weg proberen.

Aanpassing: ik heb mijn vorige 13:28 uur post aangepast met het gevaar op wachtwoordlijsten voor te komen.

Ik was een beetje te optimistisch hier: op een NVIDIA GTX Titan X (de snelste GPU voor het kraken van passwords) kan een aanvaller maximaal 10000 mogelijkheden per seconde proberen. Voor de kenner, het LastPass hashing algoritme dat doorgeploegd moet worden is:

PBKDF2(HMAC-SHA256, sha256(PBKDF2(HMAC-SHA256, password, salt, 5000)), salt, 100000)

Zie: http://arstechnica.com/security/2015/06/hack-of-cloud-based-lastpass-exposes-encrypted-master-passwords/

Dus als uw password in de Dropbox lijst van 80000 verboden zwakke passwords voorkomt is het binnen 8 seconden gekraakt.

Zelf gebruik ik een passphrase voor LastPass. Stel mijn passphrase van 7 woorden zou bestaan uit de 40000 meest gebruikte nederlandse woorden en stel een kraker gebruikt een woordenlijst met deze woorden. Dan moet hij 40000^{7} is ongeveer 10^{32} mogelijke combinaties proberen. Met 10000 pogingen per seconde kost het maximaal 10^{22} jaar om mijn passphrase te breken. Ter vergelijking: het universum bestaat 10^{10} jaar, 10^{12} keer korter. Echter, voor alle zekerheid heb ik leestekens opgenomen in mijn passphrase, hier en daar haakjes gezet en een zekere letter overal vervangen door een teken, maar wel zodanig dat ik mijn passphrase kan onthouden en niet op hoef te schrijven.