Что делает LastPass таким безопасным?

Помимо того, что вы можете создавать уникальные сложные пароли для каждого сайта, мы также предлагаем бесплатную аутентификацию по второму фактору: Grid . Таким образом, вашего имени пользователя и пароля недостаточно для доступа к вашим данным, когда используется Grid.

Кроме того, ваши пароли не хранятся в менеджерах паролей Firefox или IE, которые обычно небезопасны (просто запустите наш установщик и посмотрите, как мы можем получить все пароли).

Что касается хранения в облаке, то все шифруется локально перед отправкой на сервер, и ваш ключ никогда не отправляется нам. Вы можете прочитать больше о том, как мы защищаем вас, на странице технологий на нашем сайте.

Я не считаю LastPass особенно безопасным (как и все, что хранится «в облаке»), я предпочитаю локальное решение (например, KeePass ). Удобство онлайн-доступа к информации для входа в систему по недопустимой цене (по крайней мере, для параноика старого меня).

Что делает его безопасным, так это то, что он никому не может сказать, какие у вас пароли, даже с пистолетом в голову. Даже при использовании веб-интерфейса ваши пароли перед передачей шифруются локально.

Да, это правда, что он обеспечивает «единую точку отказа», если не используется Grid. Тем не менее, вы можете иметь смехотворно надежный мастер-пароль - кого волнует, нужно ли вам вводить пароль из 100 символов, если вы делаете это только один раз в день? И поскольку он сохраняет ваши «пароли», вы можете иметь их намного сильнее, чем обычно.

Другое преимущество состоит в том, что большинство людей не будут иметь разные пароли для каждого веб-сайта (или будут иметь шаблон), и LastPass позволяет вам отказаться от этого. Итак, если раньше каждый сайт, на котором вы работали, был потенциальной точкой входа на все остальные сайты, на которых вы были, то теперь только ваша учетная запись LastPass. Взлом любого «дополнительного пароля» не дает никакой дополнительной информации злоумышленнику.

Это полезно, потому что вы не знаете, шифруют ли ваши сайты ваш пароль или перебивают его. Я мог бы назвать веб-сайт с 11 миллионами пользователей, который хранит незашифрованные пароли в своей базе данных.

Наконец, LastPass предлагает такие функции, как одноразовые пароли для доступа к вашим паролям в ненадежных местах, что обеспечивает безопасность вашей учетной записи даже от самых продвинутых клавиатурных шпионов.

Просто быстро взглянул на их сайт - я думаю, что ваши очки верны ... Если кто-то взломает ваш пароль там, у него есть все ваши пароли - он просто объединяет несколько функций из нескольких программ в одну программу.

Посмотрев туда, нет ничего, что заставляет меня думать, что это «более безопасно», чем иметь отдельные пароли для разных сайтов - как вы все равно будете ... Последний проход просто облегчает управление.

Возможно, было бы полезно узнать, что Стив Гибсон (из « Безопасности сейчас!» ) Ссылался на LastPass в подкасте :

... то, что я должен сказать, я думаю, это лучшее из возможных решений.

В своих более чем 600 эпизодах безопасности Гибсон часто напоминает слушателям, что лучшие пароли являются бессмысленными и длинными. В этом конкретном подкасте он говорит

... чем длиннее ваш пароль, тем он крепче

Никакой онлайн инструмент для хранения паролей не может гарантировать вам безопасность. Они утверждают, что механизм хранения защищенных паролей скрывает пароли от хоста, и только клиентская сторона знает ключ и расшифрованную форму.

Но следующее сообщение в блоге показывает недостаток в этом утверждении:

Одна из причин, почему мы не можем доверять хранению пароля в Интернете

Using LastPass with the Chrome plugin I was able to pull a password by navigating to a login page, filling in the password and entering the following in the console (press F12).

document.querySelectorAll("[type=password]")[0].value 

This is with two-factor authentication and with the "require master-password to show/copy password"-option enabled. I'm guessing it would not be hard to automate this, meaning that passwords can be pulled easily from LastPass just like other password storage, contradicting what "Bob from LastPass" seems to be claiming.

I guess LastPass is considered better than manual password management by security experts like Steve Gibson simply because the risk of compromise from a weak/reused password or by a generic keylogger is bigger than the risk from malware that's specifically attacking LastPass. Still I would only use it for sites that I can afford to lose, and never for banking/primary email/Dropbox, etc.

A password manager requiring two-factor authentication for every password that is downloaded from the server (LastPass only requires it on first login) would limit the damage to only the passwords that were used on the infected computer, but I have not found a password manager with that option yet.