[Netzwelt] Servereinbruch bei Lastpass

Bei der Online-Passwortverwaltung Lastpass wurde in die Server eingebrochen. Dies hat das Unternehmen auf seinem Blog bekannt gegeben. Es gibt Hinweise dass sich Dritte Zugang zu diversen E-Mail-Adressen, den Passworthinweisen sowie den Authentifizierungshashes vieler Nutzer verschaffen konnten. Ein ähnlicher Einbruch fand bereits 2011 statt.

Lastpass versichert, dass die Authentifizierungshashes jeweils mit einem zufälligem Salt versehen und serverseitig 100.000 Iterationen von PBKDF2-SHA256 bearbeitet wurden. Somit seien die Hashes nur mit einem sehr großen Aufwand zu knacken. Das Unternehmen wird dennoch die Nutzer anschreiben und sie auffordern dass sogenannte Masterpasswort zu ändern. Neu hinzugefügte Geräte müssen zudem per E-Mail bestätigt werden. Alternativ ist die Nutzung einer Zwei-Faktor-Authentifizierung möglich.

Quelle: Golem.de

 

[TBow]

Bei der Online-Passwortverwaltung Lastpass wurde in die Server eingebrochen.

Online ist gut, online ist gut, online ist....

 

[Abul]

gut.

 

[The_Emperor]

Der Grund warum Passwortmanager (egal ob online oder offline) failed by concept sind.

 

[NbN]

Der Grund warum Passwortmanager (egal ob online oder offline) failed by concept sind.

Aber online noch viel viel failedender.

 

[TBow]

LastPass Corporate HQ

8315 Lee Hwy Suite 501 Fairfax, VA 22031, USA

https://lastpass.com/about-lastpass

Klar, ne Ami Bude, die jederzeit zur Datenherausgabe plus geheimer Ausspähung und Überwachung der Kunden verpflichtet werden kann.

 

[Metal_Warrior]

Der Grund warum Passwortmanager (egal ob online oder offline) failed by concept sind.

Warum? Weil sie offline auch geklaut werden können? Sorry, das ist BS vom allerfeinsten. Da muss man nichtmal rechnen:

Der durchschnittliche Mensch nimmt ein Passwort für alle Dienste her - wird das Passwort bekannt, sind alle Dienste kompromittiert - Worst Case.
Die intelligenteren Menschen permutieren ihr Standardpasswort ein wenig - wird eines bekannt, ist die Kompromittierung aller Dienste nur noch wenige Bits entfernt (vor Allem, wenn man den Permutationsalgorithmus erkennen kann), aber mit Aufwand verbunden - Zweitschlechtester Fall.
Die intelligenteste Variante sind zufallsgenerierte Passwörter, die sich aber kein Mensch merken kann. Damit ist bei Bekanntwerden eines Passworts kein anderer Dienst kompromittiert. Wird die Liste geklaut, gibt es zwei Fälle:
a) Die Liste war unverschlüsselt: Dann sind alle Dienste kompromittiert - Worst Case. Der gezielte Einbruch auf einen Privatrechner ist allerdings in den meisten Fällen ein höherer Aufwand als der Einbruch in einen Server (zwei Firewalls, keine externen Dienste).
b) Die Liste war verschlüsselt: Dann besteht die Chance auf Kompromittierung, allerdings gekoppelt an die Komplexität des Passworts und des Algorithmus. Der Aufwand ist ungleich höher als der im Fall 2, selbst bei "frei-Haus-Lieferung" der Liste.

Fazit: Natürlich habe ich einen Passwort-Manager. Ich habe schließlich auch weit über 50 verschiedene Kennwörter unterschiedlicher Komplexität und Länge. Die verschlüsselte Datei dazu liegt auf zwei Systemen, beide verschlüsselt und in meiner Hand.

Nenne mir eine bessere Lösung für die anstehende Problematik.

 

[The_Emperor]

Es gibt bessere Lösungen, die sind zwar nicht so bequem wie ein Passwortmanager aber sicherer.

 

[Metal_Warrior]

@The_Emperor:
Welchen Teil von

"Nenne eine Lösung"

hast du nicht verstanden?

 

[sia]

Es gäbe die Möglichkeit, einen Zettel in einem Tresor zu verwahren. Ist aber quark, weils mega unkomfortabel ist.

 

[Metal_Warrior]

@phre4k:
...und davon abgesehen auch unsicherer, weil der Tresor mit Bohrer, Wasser und einer kleinen Sprengkapsel innerhalb von wenigen Stunden geöffnet werden kann, wohingegen eine Verschlüsselung ganz andere Ressourcen und Zeiträume beansprucht.

 

[sia]

 

[tm98]

Ich fühle mich bei Lastpass nach wie vor gut aufgehoben. Bei dem Hack wurden E-Mail Adressen, passworthinweise und Salts gestohlen. Das ist in sofern erstmal recht ärgerlich, passiert aber leider immer wieder, auch bei namenhaften Unternehmen. Die Passwörter für die Container hat Lastpass gar nicht, da diese lokal beim User ver- und entschlüsselt werden. Natürlich ist Lastpass closed Source und ein US Unternehmen. Das sind Microsoft und Co. aber auch und trotzdem nutze ich Windows. Ich zahle gerne meine 12$ pro Jahr für den Komfort und fahre damit schon sehr lange recht gut.

Ich kann aber auch jeden verstehen, der lieber auf Keypass oder sein Hirn setzt. Aber so grenzdebil wie Lastpass User heute in vielen Kommentaren bei golem, Heise und SPON beschrieben wurden sind sie nicht zwingend.

 

[drfuture]

Ich finde Lastpass ebenso vernünftig - und wirklich was gestoheln wurde eben auch nicht. Die Verschlüsselten PW-Tresore könnten auch noch gestohlen werden und der Dieb hat erst einmal nicht viel.
"wichtige" Passwörter wie Onlinebanking etc. sind in einem offline-Passwortstore in Keypass - das ist zumindest open-source und wurde von eigen krypto-Spezialisten untersucht (Wobei ich ja auch der Meinung bin das Open-Source definitiv nichts mit dem Wort "Sicherheit" zu tun hat).

Klar ist es ein US unternehmen - aber um Kennwörter rausgeben zu können müssten sie sie erst mal haben - das heißt auch das die Passwörter unverschlüsselt ein zweites mal abgelegt werden würden... was natürlich ein nogo wäre... - Oder das mit einem zweiten Zertifikat noch mal gegenverschlüsselt wird.
Nur gegen ALLES ist man nur sicher wenn man hoch komplexe Passwörter für jeden Dienst verwendet und diese NUR im Kopf behält (Wobei auch da phre4k's Cartoon zum Tragen kommen kann) - Auch für Tresore gibt es theo. Masterpasswörter / Schlüssel....

DIE Lösung gibt es schlicht nicht.

 

[sia]

Wie LastPass verschlüsselt, wurde doch nicht unabhängig bestätigt, oder?

Zudem wird es genügend Menschen geben, die ihre Online-Banking-Daten auch in LastPass speichern.

Ich würde meine Hausschlüssel auch nicht in anderer Leute Garagen legen, selbst wenn nur ich einen Schlüssel dafür hätte.

 

[drfuture]

Beim Browserplugin passiert das ganze ja nachlesbar in javascript - der Traffic wurde z.B. hier einmal überprüft https://blog.fenceit.ch/sicherheit-von-lastpass/

 

[Ungesund]

Nutze auch Lastpass seit Jahren und ändere das Main-Passwort regelmäßig. Wann immer ich das tue wird auch meine Passwort-Datenbank neu verschlüsselt. keine Ahnung, aber in meinem Cryptographie-Naiven Denken dürfte dass doch ebenso in der jetzigen Situation helfen, sollte versucht werden mit den zuletzt erbeuteten Daten irgendwas zu bewerkstelligen, oder?

Wie steht es denn mit dem ganzen google chrome passwort sync gedöns? Nutze ich nicht, aber wäre das von der gebotenen "sicherheit" mit LastPass vergleichbar?

Auch ich stehe halt vor dem Problem inzwischen hunderte Accounts auf hunderten von Seiten zu besitzen, und einige davon auch immer bei mir haben zu müssen. Da erschien mir die Methode mit dem zufälligen Passwort und dem einen Masterpasswort für alles ziemlich angenehm und relativ nachvollziehbar sicher. Die wirklich wichtigen Daten habe ich in einer Iphone App vom Frauehofer Institut (iMobileSitter), der ich nochmal ein wenig mehr vertraue... selbst Formulare ausfüllen usw. tut diese aber nicht. Ist halt einfach ein Brutforce-immuner Vault.

 

[sia]

iMobileSitter hört sich sehr interessant an. Das wäre mal eine Idee für KeePassX 3.0

 

[virtus]

Mit guter Crypto sollte das kein Problem sein. Ich befürchte nur, da hat mal wieder jemand double rot13 verwendet, sich 'schnell einen Dienst hoch ziehen' nicht mit 'überlegtem Vorgehen' vereinigen lässt.

 

[Metal_Warrior]

@Ungesund:
Kleine Korrektur: Gegen Brute Force ist nichts immun - BF ist der einzige Angriff auf ein Kryptographieverfahren, der IMMER funktionieren wird. Der einzige Schutz dagegen ist die Komplexität der eingesetzten Passwörter und die daraus resultierenden großen Zeiträume, die für die Methode in Anspruch genommen werden müssen. Bei AES sind wir da derzeit mit 128bit im Bereich von "Alter des Universums mal X" etc.