Artikel top billede

(Foto: PC World)

Password-manager under beskydning: Kriminelle kan nuppe adgangskoderne

Sikkerhedsekspert afslører sårbarhed i LastPass. Brugerne bør skifte deres master-adgangskode, lyder det fra LastPass, der samtidig ændrer kravene til login.

En af de mest populære password-managers, den cloud-baserede løsning LastPass, er - igen - havnet i fedtefadet.

Sikkerhedseksperten Sean Cassidy har afsløret, hvordan et phishing-angreb mod Lastpass potentielt kan gøre det muligt for angriberne at stjæle brugernes emails, adgangskoder og tofaktor-adgangskoder.

Det vil kunne give adgang til alle de adgangkoder og dokumenter, brugerne opbevarer via LastPass, hævder han. 

"LastPass viser beskeder i en browser, som angribere kan forfalske," forklarer han i en analyse af sårbarheden.

Læs også: Ekspert om angreb mod password-manager: Udstiller kæmpe risiko - men der er en løsning

LastPass har nu reageret på Sean Cassidys afsløringer, og selskabet skriver i en besked til kunderne:

"Lørdag den 16. januar gav sikkerheds-researcher Sean Cassidy en præsentation til hacker-konferencen Shmoocon, hvor han demonstrerede et phishing-angreb mod LastPass. I dette angreb omdirigeres brugeren til en ondsindet webside, og siden genererer en besked, der ser ud som en besked fra LastPass."

Bør ændre master-adgangskode

Selvom den falske besked kan narre ofret til at tro, at der igen skal logges ind på LastPass ved hjælp af både den almindelige adgangskode og tofaktor-koden - men altså på den falske side - så skriver LastPass, at det blandt andet kræver, at de kriminelle også får adgang til brugerens email-adresse.

Alligevel lyder beskeden til kunderne nu:

"For en sikkerheds skyld anbefaler vi, at du også opdaterer master-adgangskoden i LastPass Vault ved at åbne konto-indstillinger, skrive en ny adgangskode og så gemme dine ændringer."

Samtidig indfører tjenesten nye krav til login fra nye enheder og nye IP-adresser:

"Tidligere gav LastPass brugere med tofaktor-autentificering mulighed for at springe over verfifationsprocessen, da de allerede havde slået ekstra beskyttelse af deres konto til. Vi har nu ændret det, så alle brugere, selv dem med tofaktor-autentificering, vil blive sendt hen til verifikations-processen, når de logger ind fra ukendte enheder eller steder."

Sean Cassidy skriver som en reaktion på LastPass' nye tiltag:

"LastPass kræver nu email-bekræftelse ved login fra alle nye IP-adresser. Dette mindsker LostPass (sårbarheden, red.) betydeligt, men eliminerer den ikke."

Ikke første gang

Det er ikke første gang, LastPass er ramt af sikkerhedsproblemer.

I juni sidste år blev password-manageren udsat for et angreb og måtte derefter informere de mange brugere om, at blandt andet emailadresser til Lastpass-konti, huske-informationer til adgangskoder og ‘autentificerings-hashes' var blevet kompromitteret.

En password-manager er ellers et populært og effektivt værktøj, når man som it-bruger skal have et sikkert sted at opbevare alle sine adgangskoder.

På den måde kan man nøjes med at skulle huske ét master password frem for alle adgangskoderne til de forskellige onlinetjenester.

Password-managers kan dog i sagens natur også udgøre et kæmpe sikkerhedsproblem, hvis de ikke beskytter brugernes mange adgangskoder godt nok.

Computerworld har tidligere sat fokus på, hvordan man kan mindske de risici, der er forbundet med at anvende en password-manager til at opbevare ens mange adgangskoder - læs anbefalingerne her.

Læs også:

Ekspert om angreb mod password-manager: Udstiller kæmpe risiko - men der er en løsning

Efter sikkerheds-kritik: Password-manager tvinges til at stramme op

Skulle beskytte brugernes adgangskoder - nu er password manager selv under angreb




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
JN Data A/S
Driver og udvikler it-systemer for finanssektoren.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Enterprise Architecture Day 2023: Strategi styring og sikkerhed

Mange it-afdelinger har de seneste år har oprustet på it-arkitektursiden. Både gennem individuelle ansættelser og med oprettelse af egentlige arkitektafdelinger. Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu?

30. marts 2023 | Læs mere


Seminar: Optimér databasen og styrk kritiske processer på tværs af platform, cloud og on-premise

Det er lettere sagt end gjort at optimere databasemiljøet i en hybrid, distribueret infrastruktur, hvor funktionalitet og stabilitet er afhængig af en lang række integrationer med platforme og teknologier fra talrige leverandører. Derfor sætter vi fokus på, hvordan du som DBA’er, infrastrukturspecialist eller IT-chef får de bedste forudsætninger for at lykkes med indsatsen. Du får konkret og opdateret viden om værktøjer og kompetencer, der gør det muligt at løfte opgaven i din virksomhed. Uanset om I satser på Oracle DB, Microsoft SQL eller PostgreSQL på eksempelvis IBM Cloud – eller en blanding heraf.

30. marts 2023 | Læs mere


SAP Excellence Day 2023

På SAP Excellence Day 2023 får du det fulde overblik, der gør det lettere at prioritere mellem de mange muligheder og informeret grundlag for at vælge til og fra. Du får viden om, hvilke muligheder de nye tilbud og services giver – men også om risikoen ved at vælge de nyeste løsninger fra. Samtidig får du senest opdaterede indsigt i SAPs egne planer for de kommende 2-3 år.

13. april 2023 | Læs mere