LastPass foi hackedo (de novo) ,passwords, cartões de crédito e dados pessoais

[rdluffy]

O keepass pode rodar localmente.

De tanto vocês falarem aqui que usam, vou acabar fazendo o teste pra ver se me acostumo
Mas não com todas as senhas, só com as menos sensíveis mesmo.

Para vocês que usam, vocês deixam todas as senhas mesmo ou as senhas de banco e/ou pagamentos vocês não colocam?

[1714539788]

1714539788

[1714539788]

1714539788

[1714539788]

1714539788

[1714539788]

1714539788

[1714539788]

1714539788

[bitmover]

Para vocês que usam, vocês deixam todas as senhas mesmo ou as senhas de banco e/ou pagamentos vocês não colocam?

Senhas de bancos/cartao eu não coloco.

Eu uso pra todos os sites, exceto pra bancos do dia a dia. Bancos/corretoras q eu quase não uso ficam no gerenciador.

Binance eu uso o gerenciador de senhas.

Daí todas as senhas são preenchidas automaticamente e eu não sei nenhuma. Todas as aleatórias e muito grandes com letras número e especiais.  Todas únicas.

Eu botaria tudo. Aos poucos vc vai mudando....

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

[joker_josue]

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

Mas o Keepass interliga com os browsers? Ou tem na memoria do Firefox as senhas?

[alegotardo]

O maior (é provavelmente o pior) gerenciador de senhas foi novamente hackeado (acho que é um ritual quase anual).

Dessa vez os hackers roubaram uma key de um empregado e estão com os dados e senhas de todos os usuários tentando fazer bruteforce.

Como o próprio nome diz.... "last pass", melhor que seja realmente a última vez que as pessoas usem uma senha por lá.

Eu felizmente estou duplamente protegido desse hack.
Primeiro porque sempre utilizei uma senha bastante forte para encriptar meu cofre, segundo porque excluí os dados e removi minha conta de lá já faz mais de um ano.

Espero que eles de fato tenham apagado meus dados, por acaso já tem alguma fonte de consulta a respeito das pessoas afetadas?

Atualmente eu utilizo o Bitwarden.... a última restrição do LastPass que me pediu para escolher se eu queria usar no PC ou Mobile foi a gota d'água para eu mudar.
O é Bitwarden é open-source, e até onde pesquisei parece ser muito mais seguro que que o LastPass.
Ainda assim, utilizo o Bitwarden apenas para contas cotidianas, sem jamais incluir nele emails principais que uso com frequência, contas bancárias ou notas relacionadas às criptos.

[TryNinja]

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

Mas o Keepass interliga com os browsers? Ou tem na memoria do Firefox as senhas?

Existem extensões e outros app que suportam o tipo de arquivo do Keepass e assim permite uma integração com o navegador ou app de celular. Eu mudei para o Bitwarden (online) pois essa integração pc <> celular <> navegador é muito mais fácil e desburocrática.

Do próprio site do Keepass: https://keepass.info/plugins.html

[joker_josue]

Existem extensões e outros app que suportam o tipo de arquivo do Keepass e assim permite uma integração com o navegador ou app de celular. Eu mudei para o Bitwarden (online) pois essa integração pc <> celular <> navegador é muito mais fácil e desburocrática.

Pois. Isso para mim é a mais valia.

Apesar de nunca ter usado esse tipo de aplicativos, se é para entrar nesses níveis, tem de ser fácil utilização em qualquer dispositivo que se utilize.

[bitmover]

Apesar de nunca ter usado esse tipo de aplicativos, se é para entrar nesses níveis, tem de ser fácil utilização em qualquer dispositivo que se utilize.

O é Bitwarden é open-source, e até onde pesquisei parece ser muito mais seguro que que o LastPass.
Ainda assim, utilizo o Bitwarden apenas para contas cotidianas, sem jamais incluir nele emails principais que uso com frequência, contas bancárias ou notas relacionadas às criptos.

A grande vantagem mesmo é para esses sites meio aleatórios que somos o rígidos a criar uma senha para acessar poucas vezes na vida. Daí não tme pq decorar esse tipo de senha.

Também é bom pra sites que usamos muito e podemos usar uma senha forte e acessar c facilidad.e

Assim  se um dia uma senha vazar, por parte do site  , nossas senhas mais importantes e decoradas estão seguras.

[Disruptivas]

Como a Lastpass é um serviço de gerenciamento de senha online, eles tem todas as senhas de todos os clientes guardadas em seus servidores, porém, essas senhas estão ENCRIPTADAS com uma senha que só o cliente sabe. O cliente, então, pode descriptar o arquivo localmente no seu navegador, entendeu?

Aí o que aconteceu foi que um funcionário teve suas credenciais dos servidores da Lastpass vazadas e o hacker pegou esses arquivos encriptados. Como só o cliente sabe a senha para descriptar a sua parte dos arquivos, o hacker teria que fazer um bruteforce até encontrar a senha do arquivo de cada cliente, o descriptando e liberando o acesso às senhas.

Eu usava o Keepass, mas hoje uso o MacPass. Sabe se é pior ou algo de ruim do MacPass?

Parece que é um fork do Keepass só que no Mac. É o melhor caminho, já que você tem 100% do controle sobre o arquivo (não é guardado em um servidor de uma empresa mundo afora).

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

[joker_josue]

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

A vantagem de um serviço na nuvem é que permite ter sempre aos dados atualizados e usar em todos os seus dispositivos. Sem ter de andar a passar ficheiros de um lado para o outro.

[TryNinja]

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

Tecnicamente sempre pode haver um backdoor, principalmente por que eles podem sempre mudar o código do front-end para enviar a sua senha para os seus servidores (até alguém perceber, rsrs). A vantagem do sistema online é não ter que lidar com backup, sincronizar o cofre de senhas entre todos os dispositivos, não ter que lidar com apps mal-polidos, ...

Eu uso por que não tenho que me preocupar com nada disso e o app do bitwarden funciona bem. Na época que usava o Keepass, o app para iOS (que foi feito por um terceiro) era meio ruimzinho.

[bitmover]

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

A vantagem de um serviço na nuvem é que permite ter sempre aos dados atualizados e usar em todos os seus dispositivos. Sem ter de andar a passar ficheiros de um lado para o outro.

E a desvantagem é a perda da privacidade e o aumento do risco de ser hackeado. Ao mesmo tempo, exsite um ganho de segurança pois voce não precisa cuidar dos back-ups.

O ideal mesmo, é usar 2FA nas senhas importantes e evitar deixar as principais senhas em qualquer gerenciador de senha (como o email principal, principal banco, etc)

[lcharles123]

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

[rdluffy]

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

Esse gerenciador do Firefox você acessa como?
Por um e-mail ou só na máquina que você está usando?

O que uso no Chrome para algumas coisas fica guardado pelo e-mail de cadastro do Gmail e posso até fazer login em outras máquinas que ele consegue puxar essas informações
O ponto de falha seria se alguém descobrir sua senha de e-mail e conseguir acessar essas senhas

[bitmover]

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

Esse gerenciador do Firefox você acessa como?
Por um e-mail ou só na máquina que você está usando?

Eu também uso o do Firefox

Precisa duma conta Firefox. Eu uso ela num email e uso uma senha forte e um 2fa pra acessar.

Nunca foram hackeados e são uma empresa comprometida com a privacidade. Recomendo.

[nikolaspaolo]

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.


Importante: São suportados apenas dispositivos USB que funcionem com FIDO U2F ou FIDO2.

Seu dispositivo deve ser cadastrado no Registro.br. Após cadastrado, o dispositivo deverá estar conectado à porta USB de seu computador sempre que desejar se logar no site do Registro.br.

[TryNinja]

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.


Importante: São suportados apenas dispositivos USB que funcionem com FIDO U2F ou FIDO2.

Seu dispositivo deve ser cadastrado no Registro.br. Após cadastrado, o dispositivo deverá estar conectado à porta USB de seu computador sempre que desejar se logar no site do Registro.br.

Nunca usei, mas acho a ideia muito interessante. É basicamente um 2FA físico, quase como uma hardware wallet, onde você precisa ter esse dispositivo conectado e precisa aprovar as ações direto no dispositivo.

Uma curiosidade é que você pode aproveitar a sua Ledger Nano S/X e usar ela como um dispositivo U2F! Tem um app oficial para isso: https://support.ledger.com/hc/en-us/articles/115005198545-FIDO-U2F?docs=true

Um vídeo mostrando o 2FA físico em uma conta da Google, com a Nano X: https://www.youtube.com/watch?v=KPmf9mbYKuo

[joker_josue]

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.

Da ideia, acho que é excelente.

Mas vejo dois problemas nisso, e que tenham limitado o desenvolvimento da tecnologia:
1. Tem de ter sempre o equipamento, para aceder a sua conta. As vezes quer aceder ao email em casa de amigos, para ver algo urgente, e como não levou o equipamento não o consegue fazer.
2. Limita o acesso em vários dispositivos, visto que o equipamento pode não estar preparado para aceder via smartphone ou tablet.