Artikel top billede

Ekspert om angreb mod password-manager: Udstiller kæmpe risiko - men der er en løsning

Password-manageren Lastpass er blevet angrebet af hackere og må nu bede brugerne om at ændre master-adgangskode. Enkelt tiltag kan minimere risikoen for lignende problemer.

Password manageren Lastpass kæmper i disse dage med både sikkerheden og omdømmet, efter at hackere har kompromitteret tjenesten.

Det er naturligvis altid kritisk, når man som virksomhed bliver ramt af et angreb - men når man ligefrem lever af at opbevare brugernes mange adgangskoder til forskellige onlinetjenester, er mere end som så.

I angrebet mod Lastpass er blandt andet emailadresser til Lastpass-konti, huske-informationer til adgangskoder og ‘autentificerings-hashes' blevet kompromitteret.

Derfor bliver brugere, der logger ind fra en ny enhed eller IP-adresse, nu bedt om at verificere deres konto via email, og brugerne får også besked om at opdatere deres master password.

Det kan du læse mere om her: Skulle beskytte brugernes adgangskoder: Nu er password-manager selv under angreb.

Lastpass-sagen illustrerer på mange måder en udfordring med løsninger, der hjælper brugerne med at opbevare de mange adgangskoder, skriver Gartner-rådgiver John Wheeler i et blogindlæg.

"Denne specifikke virksomhed tilbyder kunder en cloud-baseret opbevaring af alle deres adgangskoder og et automatisk link til den tilhørende app for et hurtigt login. Det er en fantastisk løsning i forhold til en kæmpe sikkerheds-hovedpine."

"Men denne uges udmelding demonstrerede, at der er en alvorlige ulempe," skriver John Wheeler og uddyber:

"Mens passwordsikkerheds-firmaet sikkerhed kunne sige, at alle adgangskoder i 'bankboksen' var sikre, kunne den ikke sige det samme om master-adgangskoden, der bliver brugt til at få adgang til boksen for hver enkelt kunde."

"Virksomhedens løsning på problemet var at få hver enkelt kunde til at ændre deres master password. Det er ikke ikke en særlig betryggende besked for de kunder, der er ramt."

Her er løsningen

Selvom Lastpass har forklaret, at master-adgangskoderne naturligvis er krypterede, mener Gartner-rådgiveren altså, at vi her er vidne til et grundlæggende problem ved løsninger af denne type,

"Sikkerhedsløsninger som denne har et meget reelt potentiale for at skabe kæmpe risici i vores nye digitale verden," skriver han.

John Wheeler mener, at løsningen er ret åbenlys: To-faktor-validering.

"Mens firmaet bag password-sikkerheden tilbyder flerfaktor-autentificering, er det ikke et krav til brugerne. Efter denne uges udmelding er det måske en belsutning, der skal genovervejes." 

Computerworld har tidligere sat fokus på, hvordan man kan mindske de risici, der er forbundet med at anvende en password manager til at opbevare ens mange adgangskoder - læs anbefalingerne her.

Vores kolleger på det amerikanske Infoworld har i øvrigt netop testet en stribe populære password managers. Her ender netop Lastpass faktisk ud som den bedste af de testede. Se hele testen her.

Læs også:

Skulle beskytte brugernes adgangskoder - nu er password manager selv under angreb

Trojansk hest jagter dine adgangskoder: Sådan kan du forsvare dig

Derfor kan din stærke adgangskode være totalt usikker - også selvom du får noget andet at vide




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
itm8 A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
People Tech 2024: Sådan gør du din gode arbejdsplads endnu bedre

Du får indsigt i de nyeste trends, hvor udviklingen går hen, masser af inspiration fra andres erfaringer samt god tid til netværk – og værdifuld indsigt i mulighederne for at effektivisere løn- og HR-processer, understøtter nye arbejdsformer og helt basalt skabe grundlaget for at skabe en bedre og mere attraktiv arbejdsplads.

11. december 2024 | Læs mere


Computerworld Cyber Briefing

Én gang om måneden leverer Computerworld Event et 30 minutters Cyber Briefing, hvor du får overblik over de mest aktuelle angreb, største trusler og tendenser samt giver dig gode råd, der kan implementeres direkte i din it-sikkerhedsafdeling.

06. januar 2025 | Læs mere


PCI og cloud-sikkerhed: Strategi til beskyttelse af betalingsdata

Er din organisation klar til de nye PCI DSS 4.0-krav? Deltag i vores event og få indsigt i, hvordan du navigerer i compliance-udfordringerne i en cloud-drevet verden.

16. januar 2025 | Læs mere