Vulnerabilità LastPass: gli utenti LastPass dovrebbero cambiare tutte le loro password?

5

Leggendo la recente vulnerabilità nelle estensioni LastPass per FireFox e Chrome . L'exploit pubblicato consente l'esecuzione di codice arbitrario. La vulnerabilità ha anche permesso l'accesso alle password memorizzate. Posso leggere che l'esecuzione di codice arbitrario non funzionerà a meno che l'estensione binaria non sia abilitata. Se il mio amico amico ha utilizzato LastPass, presumo che fosse ancora vulnerabile a uno script dannoso che accede alle password anche senza l'estensione binario di Chrome abilitata?

Quindi, se questa estensione vulnerabile è stata là fuori e nessuno ha idea se Project Zero è stato il primo a trovarlo, perché LastPass non raccomanda che tutti cambino tutte le loro password?

    
posta mcgyver5 24.03.2017 - 17:31
fonte

2 risposte

2

L'ultima pass suggerendo che le persone cambiano le loro password dipende da se la vulnerabilità è stata scoperta prima che venisse divulgata e risolta e se gli utenti hanno visitato un sito infetto nel caso lo fosse. Dipende anche da come è stata risolta la vulnerabilità.

Tavis Ormandy è un ottimo ricercatore che ha iniziato a frequentare Last Pass per un po 'di tempo, e mentre è possibile che qualcun altro abbia scoperto la vulnerabilità prima di lui, lo trovo improbabile. Tuttavia, se fosse stato scoperto probabilmente non era molto usato, dal momento che finora non abbiamo visto nessuna falla nei media e non credo che una violazione di Last Pass sarebbe durata molto a lungo senza essere scoperta. A mio parere, non è molto probabile che gli utenti siano stati colpiti da questo.

L'exploit consente solo l'accesso agli RPC di Last Passe senza l'estensione, quindi un utente malintenzionato non sarebbe in grado di accedere alla tua password principale, ma alla password di un sito (o forse di alcuni siti) che hai memorizzato in Last Pass. Quindi, se hai voglia di cambiare la tua password, modifica le password dei siti a cui accedi tramite Last Pass, non la password principale.

Infine, se la vulnerabilità è stata risolta rimuovendo la voce DNS e non abbassando il servizio, un MITM potrebbe potenzialmente ottenere i dettagli dell'account, ma la probabilità di un attacco mirato è piuttosto bassa a meno che un utente malintenzionato non possa manipolare una pagina Web sanno che frequenti e possono anche posizionarsi come un MITM.

Tutto questo ha come obiettivo un rischio piuttosto basso di masterizzazione degli utenti di Last Pass, se fossero probabilmente un numero limitato di utenti. Penso che il circo mediatico che seguirà Last Pass suggerendo a tutti gli utenti di modificare le proprie password creerebbe più danni che benefici per l'azienda nel suo complesso, mentre il fatto che pochi utenti siano interessati non è l'ideale, è più gestibile dal punto di vista delle pubbliche relazioni.

    
risposta data 24.05.2017 - 02:08
fonte
0

Mi sembra che questa vulnerabilità consenta l'accesso non autorizzato attraverso l'estensione e pertanto fornisca l'accesso alle tue password. Se si ritiene che vi sia la possibilità di essere infettati da un Trojan di accesso remoto (RAT) o da un altro virus che consente l'accesso remoto, la modifica delle password potrebbe essere una buona idea. Tuttavia, cambiare le password di tanto in tanto è una buona pratica di sicurezza al suo interno. Personalmente, se ho qualche dubbio nella mia mente, di solito gioco è al sicuro. Cambiare le password critiche (come i login bancari) sicuramente non farebbe male.

    
risposta data 24.03.2017 - 21:40
fonte

Leggi altre domande sui tag