Το hack του Lastpass ήταν χειρότερο από ό,τι ανέφερε αρχικά η εταιρεία

[nick_gr2]

57 λεπτά πριν, doctorScien είπε

Για τον  norton password manager?   τι γνωμη έχετε?

όπου ακούς norton, μακρυά.

[Melinbonian]

4 ώρες πριν, manolis940 είπε

Ένα εορταστικό μήνυμα απ' το Bit Defender

Μα πως το Google Drive είναι offline λύση; Είναι και αυτό cloud. Αν βάζεις τους κωδικούς σου σε κάποιο Google Sheets ή κάποιο txt, δεν είσαι πιο ασφαλής, καθώς το πιο πιθανό είναι τα αρχεία αυτά στους servers να μην έχουν καμία κρυπτογράφιση ή να μην είναι αρκετά ισχυρή για τόσο συμαντικά στοιχεία όπως τα passwords.

 

Σρρυ, ενοουσα να χεις το keepass file στο google drive, προφανως και οχι σε txt. Φανταζομαι οτι η αναγκη ειναι της χρησης κωδικων remotely αλλα και παλι θα προτιμουσα τη λυση που ανεφερα (onedrive/google drive και εκει το password file) αντι για direct cloud solution τυπου keepass. 

[freegr]

Τίποτα δεν είναι ασφαλές τελικα και ίσως να ήταν δουλειά εκ των έσω αφού πιθανόν κάποιοι ενδιαφέρονται μόνο για ζεστό χρήμα 

[cyberdyne]

Μάλλον το πιο ασφαλές φαντάζει να είναι το στυλό και το χαρτί τελικά.... Ότι είναι online θα είναι πάντα εκτεθειμένο....

[villa&spa]

8 ώρες πριν, Hacker?pcs είπε

Passphrase με μέθοδο ζαριού

https://ssd.eff.org/module/creating-strong-passwords#creating-strong-passwords-using-dice

 

Παιδιά να ρωτήσω κάτι, μπορούμε σε τέτοιες εφαρμογές να χρησιμοποιήσουμε ως κωδικό και ελληνικά;; Δεν θα είναι πιο δύσκολο να σπάσει; Να χεις ελληνικά + English + ή και greeklish ως κύριο κωδικό 🤔🤔🤔🤔🤔

 

Καλά Χριστούγεννα 🤓

Επεξ/σία 25 Δεκεμβρίου 2022 από villa&spa

[Bezbozny]

Στις 23/12/2022 στις 7:52 ΠΜ, leonidas_fs είπε

Το καλό με τους περισσότερους password manager είναι οτι εαν δεν εχουν το master pass, δεν γίνεται τίποτα. Τους καταστρέφει βέβαια την φήμη που είναι το σημαντικότερο, αλλα για εμάς τους καταναλωτές "μικρή ζημία".

Πάντως ρε γαμώτο σαν το UI & την ευχριστία του LastPass πουθενά. Δοκίμασα το Dashlane, 1Password κτλ, τα μισά features για να δουλέψουν θέλανε λίγο ρύθμιση και γενικά δεν ήταν τόσο user friendly όπως το LastPass.

Τελευταία μου ελπίδα για ενναλακτική το paid του BitWarden που θα δοκιμάσω μέσα στις γιορτές.

Αυτό δεν ισχύει. Τα πάντα σπάνε. Και τα πάντα μπορούν να αποκρυτογραφηθούν. Τίποτα δεν είναι 100% ασφαλές.

[Hacker?pcs]

12 hours ago, villa&spa said:

 

Παιδιά να ρωτήσω κάτι, μπορούμε σε τέτοιες εφαρμογές να χρησιμοποιήσουμε ως κωδικό και ελληνικά;; Δεν θα είναι πιο δύσκολο να σπάσει; Να χεις ελληνικά + English + ή και greeklish ως κύριο κωδικό 🤔🤔🤔🤔🤔

 

Καλά Χριστούγεννα 🤓

Το σημαντικό είναι να μην έχει νόημα η φράση αλλά να είναι τυχαίες οι λέξεις. Λίστα έτοιμη δεν έχω με ελληνικές λέξεις για αυτό το σκοπό όμως αν ρίχνεις το ζάρι για να βρεις μια τυχαία σελίδα σε κάποιο λεξικό και μετά επιλέξεις μια λέξη από τη σελίδα τυχαία θα είναι εντάξει. ΜΗΝ την γράψεις με ελληνικούς χαρακτήρες γιατί δεν ξέρεις τι δέχεται ο κάθε manager γιατί μπορεί να κλειδωθείς απ' έξω, τη λέξη που θα βρεις καν την greeklish

21 hours ago, sunlight2030 said:

Θέλω να πω όταν κάνω login  στην τράπεζα να μου ζηταει 2FA, Eurobank και Πειραιώς που το έψαξα δεν βρήκα κάτι

Προσωπικά έτσι το θέλω, να μπορώ να τσεκαρω υπόλοιπα χωρίς να πρέπει να βάλω 2FA κωδικό, στην Πειραιώς γύρω στο 2014 που άνοιξα ζητούσε στο login και πήγα συγκεκριμένα και τους ζήτησα να μην ζητάει στο υποκατάστημα

1 hour ago, Bezbozny said:

Αυτό δεν ισχύει. Τα πάντα σπάνε. Και τα πάντα μπορούν να αποκρυτογραφηθούν. Τίποτα δεν είναι 100% ασφαλές.

Όχι, εάν κάτι είναι ανοιχτού κώδικα και audited δεν σπάει όπως το KeePass και το Bitwarden, ειδικά αν είναι offline, εκτός από το προφανές αν το master password είναι πχ 123456

Επεξ/σία 25 Δεκεμβρίου 2022 από Hacker?pcs

[Retromaniac]

1 ώρα πριν, Bezbozny είπε

Αυτό δεν ισχύει. Τα πάντα σπάνε. Και τα πάντα μπορούν να αποκρυτογραφηθούν. Τίποτα δεν είναι 100% ασφαλές.

Έαν κατορθώσεις να σπάσεις το AES-256 σε περιμένουν πολλά βραβεία και δημοσιότητα....

[fallen_angel82]

2 χρόνια free subscription lastpass και τα τελευταία 2 paid. Δυστυχώς η εξαγορά έριξε την ποιότητα της υπηρεσίας. Παρ'ολο που είναι απο τους πιο user friendly password managers που εχω χρησιμοποιήσει και γνωριζοντας οτι ένα δυνατό master password με 2fa και AES κρατάει ασφαλή τα passwords, η αίσθηση ανασφάλειας που προκαλουν αυτες οι ανακοινωσεις, με οδήγησαν κι εμενα στη αλλαγή. Καλές οι λύσεις με τοπική αποθήκευση ή αποθήκευση στο cloud κλειδωμενου ζιπ αρχείου, αλλα το overhead για τη συντήρηση του αρχείου και το γεγονος οτι το θες διαθέσιμο οπου και αν είσαι, ανεξαρτήτου συσκευής, κάνουν τους online password managers μονόδρομο. 

Επεξ/σία 25 Δεκεμβρίου 2022 από fallen_angel82

[villa&spa]

1 ώρα πριν, fallen_angel82 είπε

2 χρόνια free subscription lastpass και τα τελευταία 2 paid. Δυστυχώς η εξαγορά έριξε την ποιότητα της υπηρεσίας. Παρ'ολο που είναι απο τους πιο user friendly password managers που εχω χρησιμοποιήσει και γνωριζοντας οτι ένα δυνατό master password με 2fa και AES κρατάει ασφαλή τα passwords, η αίσθηση ανασφάλειας που προκαλουν αυτες οι ανακοινωσεις, με οδήγησαν κι εμενα στη αλλαγή. Καλές οι λύσεις με τοπική αποθήκευση ή αποθήκευση στο cloud κλειδωμενου ζιπ αρχείου, αλλα το overhead για τη συντήρηση του αρχείου και το γεγονος οτι το θες διαθέσιμο οπου και αν είσαι, ανεξαρτήτου συσκευής, κάνουν τους online password managers μονόδρομο. 

Ναι είναι αλήθεια ότι σε κάνει να νιώθεις λίγο άβολα και σε βάζει σε σκέψεις, έχεις δίκιο να πας αλλού.

Προσωπικά δεν ανησυχώ τόσο για μετάβαση αλλού, ένας λόγος είναι ότι έχω lifetime συνδρομή και μου δείχνει χρόνια τώρα το ποσό σοβαροί είναι. Υπήρξαν τριβές με την εξαγορά αλλά συνεχίζει να μου εμπνέει εμπιστοσύνη η αρχιτεκτονική τους. Αισθάνομαι ότι όπου κ να πάω σε cloud λύση πάντα θα υπάρχει το ζήτημα της ασφάλειας. Και πείτε πάμε πχ σε κάποια άλλη υπηρεσία, δέχεται κ αυτήν κάποιο είδος επίθεσης, μετά τι;; πάμε σε τρίτη;... 

MFA παντού στις κρίσιμες υπηρεσίες και ο βοηθός θεός. Έρχεται η password less εποχή από τους μεγάλους οργανισμούς που πάλι κ αυτό κάτι flaws θα έχει. Το ζήτημα είναι η γρήγορη κ έγκυρη διόρθωση αυτών. 

 

 

[fallen_angel82]

12 λεπτά πριν, villa&spa είπε

Ναι είναι αλήθεια ότι σε κάνει να νιώθεις λίγο άβολα και σε βάζει σε σκέψεις, έχεις δίκιο να πας αλλού.

Προσωπικά δεν ανησυχώ τόσο για μετάβαση αλλού, ένας λόγος είναι ότι έχω lifetime συνδρομή και μου δείχνει χρόνια τώρα το ποσό σοβαροί είναι. Υπήρξαν τριβές με την εξαγορά αλλά συνεχίζει να μου εμπνέει εμπιστοσύνη η αρχιτεκτονική τους. Αισθάνομαι ότι όπου κ να πάω σε cloud λύση πάντα θα υπάρχει το ζήτημα της ασφάλειας. Και πείτε πάμε πχ σε κάποια άλλη υπηρεσία, δέχεται κ αυτήν κάποιο είδος επίθεσης, μετά τι;; πάμε σε τρίτη;... 

MFA παντού στις κρίσιμες υπηρεσίες και ο βοηθός θεός. Έρχεται η password less εποχή από τους μεγάλους οργανισμούς που πάλι κ αυτό κάτι flaws θα έχει. Το ζήτημα είναι η γρήγορη κ έγκυρη διόρθωση αυτών. 

 

 

Καταλαβαίνω απόλυτα αυτό που λες για την αλλαγη υπηρεσίας. Αλλά ο password manager ειναι πολύ ευαίσθητο θέμα στις μέρες μας. Με λιγη δοση χιούμορ θα το παρομοιαζα με προφυλακτικό. Σου σπάει μια, σου σπαει δυο, ε δεν θα ξαναπάρεις απο την ιδια εταιρεία 🤣

[pp6210]

 

ως παλιός τους χρήστης, έχω προνομιακή τιμή 1$/μήνα για premium, το οποίο μου δίνουν για άλλον ένα χρόνο. Από το λίγο που έψαξα, το 1Password είναι το πιό κοντινό σε experience, οπότε σκέφτομαι σοβαρά να πάω προς τα εκεί, και ας είναι 36 ευρώ το χρόνο...ερώτηση για όσους φίλους έφυγαν απο lastpass και πήγαν σε 1Password: δουλεύει το import απο lastpass; ή να το κάνω manually; EDIT: το έκανα ήδη και περάστηκαν όλα κανονικά, δεν έχει folders αλλά tags. Και χρεώνει και 24% ΦΠΑ στην τιμή, άρα παει 45 ευρω το χρόνο... βέβαια ούτε το lastpass ούτε το protonmail με χρεώνουν ΦΠΑ στα premium memberships.

Βέβαια, είναι ευκολότερο απλώς να αλλάξω τα sensitive passwords και το master password και να παραμείνω lastpass, αλλά σκέφτομαι τι άλλο θα ακούσουμε στο μέλλον αν οι χάκερς έχουν ήδη το dev περιβάλλον και κάποια customer vaults... μπέρδεμα!

 

Επεξ/σία 25 Δεκεμβρίου 2022 από pp6210

[kostaspgr]

Στις 23/12/2022 στις 9:54 ΠΜ, TutaKachun είπε

Eίχα για καιρό το NordPass καθώς στην free του έκδοση εχει ολα τα features αλλά για 1 συσκευη. Θεωρώ οτι ειναι παρα πολύ καλο και με ωραιο UI. Τσεκαρέ το. Εγω τον αλλο μήνα που θα ανανεώσω το ετησιο NordVPN θα προσθέσω και το Pass να το εχω και σε κινητο

Το NordPass έχω συνδρομή για 2 χρόνια  κάπου στα 44€ είναι αρκετά καλό και επίσης έχουν βγάλει beta για το chrome και για το Firefox Ώστε να μη χρειάζεται την εφαρμογή θα βγει προ τέλος Γενάρη 

[manolis940]

Στις 25/12/2022 στις 12:39 ΠΜ, cyberdyne είπε

Μάλλον το πιο ασφαλές φαντάζει να είναι το στυλό και το χαρτί τελικά.... Ότι είναι online θα είναι πάντα εκτεθειμένο....

Μέχρι η νυν σου να βρει το χαρτάκι με τους κωδικούς του fb , να γίνει πρώην και να ξαναγυρίσεις στους password managers

Στις 25/12/2022 στις 12:17 ΜΜ, Bezbozny είπε

Αυτό δεν ισχύει. Τα πάντα σπάνε. Και τα πάντα μπορούν να αποκρυτογραφηθούν. Τίποτα δεν είναι 100% ασφαλές.

Όχι βέβαια με μία μέθοδο τύπου XOR ή κάποια man in the middle attack που είναι άμεση και αποτελεσματική, όμως για κρυπτογραφήσεις που σήμερα δεν χρησιμοποιούμε, αλλά με brute force. Έστω και ένα χρόνο * να κάνουν να σου σπάσουν το master password, είναι υπεραρκετός, μετά την ανακοίνωση να αφιερώνεις λίγο χρόνο την μέρα και να αλλάξεις όλα σου τα password.

Αλγόριθμοι κρυπτογράφησης όπως ο AES, εκεί στηρίζουν την ασφάλεια τους.

*Γενικά password managers όπως το LastPass τα Master Keys που σου επιτρέπουν να βάλεις, θέλουν στην καλύτερη εκατοντάδες χρόνια για να σπάσουν

Στις 25/12/2022 στις 4:16 ΜΜ, fallen_angel82 είπε

2 χρόνια free subscription lastpass και τα τελευταία 2 paid. Δυστυχώς η εξαγορά έριξε την ποιότητα της υπηρεσίας. Παρ'ολο που είναι απο τους πιο user friendly password managers που εχω χρησιμοποιήσει και γνωριζοντας οτι ένα δυνατό master password με 2fa και AES κρατάει ασφαλή τα passwords, η αίσθηση ανασφάλειας που προκαλουν αυτες οι ανακοινωσεις, με οδήγησαν κι εμενα στη αλλαγή. Καλές οι λύσεις με τοπική αποθήκευση ή αποθήκευση στο cloud κλειδωμενου ζιπ αρχείου, αλλα το overhead για τη συντήρηση του αρχείου και το γεγονος οτι το θες διαθέσιμο οπου και αν είσαι, ανεξαρτήτου συσκευής, κάνουν τους online password managers μονόδρομο. 

Κι όμως, αυτό που θα πρέπει να εκτιμήσεις σαν χρήστης, είναι ότι άμεσα σε ενημερώνει για ότι νέο εύρημα έχει για την επίθεση.
Τέτοιες εταιρείες είναι αυτονόητο ότι θα είναι πάντα στόχος επιθέσεων, αλλά δεν είναι αυτονόητο πάντα ότι θα τις ανακοινώσουν.

 

Στις 24/12/2022 στις 10:58 ΜΜ, Melinbonian είπε

Σρρυ, ενοουσα να χεις το keepass file στο google drive, προφανως και οχι σε txt. Φανταζομαι οτι η αναγκη ειναι της χρησης κωδικων remotely αλλα και παλι θα προτιμουσα τη λυση που ανεφερα (onedrive/google drive και εκει το password file) αντι για direct cloud solution τυπου keepass. 

Δεν θα το συγκρίνω από θέμα ασφάλειας. Θα πω ότι αφού θα προχωρήσεις εσύ στην κρυπτογράφιση η ασφάλεια είναι παρόμοια. Η πρόθεση επιθέσεων στο Google Cloud(και κάθε cloud) είναι παρόμοια και αυτή, καθώς δεν είναι λίγοι εκείνοι που ανεβάζουν ένα excel με κωδικούς για παράδειγμα.

Αυτό που είναι όμως σίγουρο είναι ότι ένας password manager, που δημιουργεί, αποθηκεύει, συμπληρώνει αυτόματα ή σχεδόν αυτόματα τα passwords, είναι πιο παραγωγικός.

[pirmen56]

Στις 23/12/2022 στις 1:02 ΜΜ, Retromaniac είπε

Τα ευαίσθητα προσωπικά δεδομένα πάντα offline.

Όσον αφορά αυτό που λες για το πως ξέρουμε αν οι εταιρείες δεν κρατάνε τα password, θα ήταν σαν να πυροβολούσαν τον εαυτό τους στο πόδι.

 

Στις 23/12/2022 στις 12:27 ΜΜ, xaerialtwistx είπε

Προφανως και ξερω αφου η κρυπτογραφία και η ασφαλεια ειναι η ειδικοτητα μου εχοντας μεταξυ αλλων τοσο το CISSP και το OSCP όσο και αρκετες μικροτερες πιστοποιησεις σε σχεση με τα forensics.

Και ενταξει, εγω ετυχε να χρησιμοποιω offline λύσεις σχεδον 20 χρονια τώρα. Ο κοσμος που χρησιμοποιει το LastPass θες να μου πεις πως το μελετησε και συνειδητοποίησε πως μια cloud λυση ειναι ασφαλεστερη λόγο και της διατριβης που εχει κανει πανω στο θεμα κρυπτογραφια και master password μετά από ένα ενδελεχες ψαξιμο των offline λύσεων πριν εμφανιστει το cloud; Πόσοι χρησιμοποιουν master password που οντως δε σπαει; Ξερουμε οντως οτι η κρυπτογραφηση ειναι αυτη που το LastPass (ή η οποιαδηποτε υπηρεσια) ισχυριζεται; Είναι φυσιολογικό να εμπιστευεται ο κοσμος τους προσωπικους του κωδικους σε μια υπηρεσια ακόμα και αν όντως αυτή δε σπάει με τίποτα; Αν  κλέψουν την κρυπτογραφημενη βάση κάποιου και κάνουν σκοπο της ζωης τους να την σπάσουν με ενα προγραμμα που αξιοποιει τις δυνατότερες GPU χωρις περιορισμους στην διαταξη τους θα ειναι το θυμα ηρεμο ή θα ξεκινησει να αλλαζει τους κωδικους του εναν - εναν;

 

Προσωπικά έμαθα να σκέφτομαι παρανοϊκα στην Πληροφορική αν και με προβληματιζει το γεγονος πως υπαρχουν ατομα που δε σκεφτονται ετσι με μερικά από τα σοβαρότερα ψηφιακά τους δεδομένα.

Το keepass υποστηρίζει αύξηση της πολυπλοκότητας του αλγόριθμου αποκρυπτογράφησης, ώστε με ένα σχετικά μικρό κόστος για σένα(κατά το άνοιγμα της βάσης) να δυσκολέψει πολύ κακοποιούς, ακόμα και με πανακριβά μέσα.

Δεν μπορείς λοιπόν με ένα σχετικά ισχυρό passphrase να κλειδώσεις μια βάση που θα περιέχει ένα password μέγιστου μήκους και με το τελευταίο να ανεβάζεις τα αρχεία σου στο cloud; Ούτε οι πρώτοι κβαντικοί δεν θα μπορούν να το σπάσουν.