Bitcoin Forum

https://techcrunch.com/2022/12/22/lastpass-customer-password-vaults-stolen/
Password manager giant LastPass has confirmed that cybercriminals stole its customers’ encrypted password vaults, which store its customers’ passwords and other secrets, in a data breach earlier this year.

In an updated blog post on its disclosure, LastPass CEO Karim Toubba said the intruders took a copy of a backup of customer vault data by using cloud storage keys stolen from a LastPass employee. The cache of customer password vaults is stored in a “proprietary binary format” that contains both unencrypted and encrypted vault data, but technical and security details of this proprietary format weren’t specified. The unencrypted data includes vault-stored web addresses. It’s not clear how recent the stolen backups are.

LastPass said customers’ password vaults are encrypted and can only be unlocked with the customers’ master password, which is only known to the customer. But the company warned that the cybercriminals behind the intrusion “may attempt to use brute force to guess your master password and decrypt the copies of vault data they took.”

Toubba said that the cybercriminals also took vast reams of customer data, including names, email addresses, phone numbers and some billing information

Password managers são essenciais. Acredito que os melhores  sejam keepass e bitwarden

Não sei se são assim tão essenciais.
Prefiro usar a minha logica de senhas, para não precisar de recorrer a esse tipo de software. Até a memorização de senhas no browser uso pouco.

É uma boa opção. O que você não pode fazer é utilizar senhas fracas e repetir as senhas entre diversos sites. É exatamente por isso que as pessoas recomendam gerenciadores de senha: ninguém consegue memorizar 50 senhas únicas, e ninguém deve repetir senhas. :P

Não precisa de usar sempre a mesma senha. Apenas usar uma logica e depois fazer as respetivas variações.
Como é esperado, não vou dizer qual é a minha logica. ::)

Quem usava/usa o serviço agora tem que trocar todas as senhas né?

A sua logica pode ser boa joker. Contudo, vou levantar uns pontos pra você pensar.

Vamos supor que sua logica seja:
Aniversário + Nome do site + %

Daí você teria
010190Netflix%
010190Spotfity%
010190Bitcointalk%

Mas, nada que a função "recuperar senha" não resolva.

Pensando assim é mais fácil usar uma senha totalmente descartável e requisitar a recuperação da senha toda vez que for acessar tal serviço :D

Nesses casos, existe a chance de existir uma ''chave mestre'' que dê acesso ao arquivo do pessoal? E pra abrir o gerenciador, também tem uma super senha que não foi criada pelo gerenciador.

Mas gente, fiquei em dúvida aqui.

Eu uso INFINITAS VEZES por dia o gerenciador de senha. É algo que não imagino como viver sem. Mas o gerenciado de senha que eu uso, ele funciona completamente offline. Eu consigo adicionar, deletar, mover e fazer tudo que eu quiser off-line. Depois de baixar, tudo ocorre off-line. Nesses casos, existe a chance de existir uma ''chave mestre'' que dê acesso ao arquivo do pessoal? E pra abrir o gerenciador, também tem uma super senha que não foi criada pelo gerenciador.

Não entendi a sua pergunta. Está questionando se tem um tipo de backdoor para que consigam acessar as suas senhas, sem ser pela super-senha que você escolheu e usa para desbloquear o gerenciador?

E seria o Keepass, o programa que você usa?

Quando eu li a primeira vez rápido a notícia, eu imaginei que a key roubada do funcionário tivesse dado acesso ao sistema de gerenciamento de outros clientes, mas na verdade foi acesso aos dados deles, né? Quem foi hackeado foi o prórpio LastPass, não os clientes necessariamente. Ai como tinha entendido que foi hackeado os proprios clientes, eu fiquei imaginando que eles tinham um sistema que dava acesso as senhas dos usuários,para desbloquear seus sistemas.

Eu usava o Keepass, mas hoje uso o MacPass. Sabe se é pior ou algo de ruim do MacPass?

Já usei a Keepass, mas hoje em dia uso o Bitwarden (online).

Que garantias é que tem, que algo semelhante ao que aconteceu ao Lastpass não aconteça também com esse serviço?

Sempre tem esse risco quando o sistema é online. O importante é entender isso e usar uma senha-mestre forte.

E usas a versão free ou paga? Pelo o que percebi os níveis de segurança são os mesmos, o que muda são as funcionalidades.

Que garantias é que tem, que algo semelhante ao que aconteceu ao Lastpass não aconteça também com esse serviço?

O keepass pode rodar localmente.

Para vocês que usam, vocês deixam todas as senhas mesmo ou as senhas de banco e/ou pagamentos vocês não colocam?

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

O maior (é provavelmente o pior) gerenciador de senhas foi novamente hackeado (acho que é um ritual quase anual).

Dessa vez os hackers roubaram uma key de um empregado e estão com os dados e senhas de todos os usuários tentando fazer bruteforce.

Mas o Keepass interliga com os browsers? Ou tem na memoria do Firefox as senhas?

Existem extensões e outros app que suportam o tipo de arquivo do Keepass e assim permite uma integração com o navegador ou app de celular. Eu mudei para o Bitwarden (online) pois essa integração pc <> celular <> navegador é muito mais fácil e desburocrática.

Apesar de nunca ter usado esse tipo de aplicativos, se é para entrar nesses níveis, tem de ser fácil utilização em qualquer dispositivo que se utilize.

O é Bitwarden é open-source, e até onde pesquisei parece ser muito mais seguro que que o LastPass.
Ainda assim, utilizo o Bitwarden apenas para contas cotidianas, sem jamais incluir nele emails principais que uso com frequência, contas bancárias ou notas relacionadas às criptos.

Como a Lastpass é um serviço de gerenciamento de senha online, eles tem todas as senhas de todos os clientes guardadas em seus servidores, porém, essas senhas estão ENCRIPTADAS com uma senha que só o cliente sabe. O cliente, então, pode descriptar o arquivo localmente no seu navegador, entendeu?

Aí o que aconteceu foi que um funcionário teve suas credenciais dos servidores da Lastpass vazadas e o hacker pegou esses arquivos encriptados. Como só o cliente sabe a senha para descriptar a sua parte dos arquivos, o hacker teria que fazer um bruteforce até encontrar a senha do arquivo de cada cliente, o descriptando e liberando o acesso às senhas.

Parece que é um fork do Keepass só que no Mac. É o melhor caminho, já que você tem 100% do controle sobre o arquivo (não é guardado em um servidor de uma empresa mundo afora).

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

A vantagem de um serviço na nuvem é que permite ter sempre aos dados atualizados e usar em todos os seus dispositivos. Sem ter de andar a passar ficheiros de um lado para o outro.

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

Esse gerenciador do Firefox você acessa como?
Por um e-mail ou só na máquina que você está usando?

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.


Importante: São suportados apenas dispositivos USB que funcionem com FIDO U2F ou FIDO2.
 (https://registro.br/ajuda/gerenciamento-de-conta/token/)
Seu dispositivo deve ser cadastrado no Registro.br. Após cadastrado, o dispositivo deverá estar conectado à porta USB de seu computador sempre que desejar se logar no site do Registro.br.

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.