Jelszólopást segíthetett a LastPass biztonsági hibája

​A LastPass fejlesztői egy magas veszélyességi besorolású biztonsági rést foltoztak be a népszerű jelszókezelő kapcsán.
 

A LastPass elsődleges célja, hogy megkönnyítse a felhasználók számára a megannyi felhasználónév/jelszó páros kezelését azáltal, hogy a felhőbe menti azokat, természetesen titkosított módon. Ezzel a különféle eszközök közötti jelszószinkronizáció is elérhetővé válik, hiszen a LastPass jó néhány platformot támogat. Csakhogy a jelszókezeléssel összefüggő funkciói a fehér- és a feketekalapos hackerek érdeklődését sem kerülik el, akik az igencsak biztonságérzékeny megoldást folyamatosan próbára teszik. Legutóbb Tavis Ormandy, a Google kutatója vette szemügyre a LastPass-ban rejlő lehetőségeket, és a vizsgálatai során egy veszélyes sebezhetőségre akadt.

A szakember szerint a biztonsági résen keresztül a támadók megszerezhetik a felhasználó által legutoljára használt felhasználónév/jelszó párost. A kockázatokat némileg csökkenti, hogy a támadás nem hajtható végre felhasználói közreműködés nélkül. Az elkövetőnek először rá kell vennie a felhasználót, hogy miután belép egy webes szolgáltatásba, látogasson meg egy speciálisan összeállított weblapot, és azon bizonyos linkekre néhányszor kattintson. Ha ezt a felhasználó megteszi, akkor a LastPass által legutoljára kitöltött hitelesítő adatok az adattolvajokhoz kerülhetnek. Nyilván a támadó bevethet adathalász módszereket, és megtévesztő, akár meghamisított weboldalakat is felkészíthet a támadás lebonyolításához. 

Ormandy a biztonsági hibáról azonnal értesítette a LastPass fejlesztőit, akik rövid elemzés után megerősítették, hogy a sérülékenység valóban létezik. Ugyanakkor hangsúlyozták, hogy kizárólag a Chrome és az Opera webböngészőkhöz készülő bővítményeket érinti a rendellenesség. A hibát a szeptember 12-én elérhetővé tett v4.33.0/v4.33.4-es verzióval szüntették meg a szakemberek. 

A két említett webböngészővel kompatibilis LastPass kiegészítők automatikusan frissülnek, így nincs komolyabb teendő. Az új verziókat Ormandy gyors tesztnek vetette alá, és megállapította, hogy azok már valóban nem tartalmazzák a biztonsági rést.

A LastPass a biztonsági hiba kapcsán néhány jó tanáccsal is szolgált, amelyek megfogadásával jelentősen csökkenthetők a kockázatok:
  • használjon többfaktoros azonosítást, ahol erre van lehetőség
  • tartsa naprakészen a számítógépein, eszközein az operációs rendszereket és az alkalmazásokat
  • használjon korszerű védelmi alkalmazásokat (például víruskeresőt)
  • minden szoftver és szolgáltatás esetében egyedi jelszót válasszon
  • a LastPass mesterjelszavát soha ne használja máshol, és tartsa titokban azt. 
Vélemények
 
  1. 4

    A MySQL fejlesztői jelentős hibajavítással rukkoltak elő.

  2. 4

    Az Oracle ismét frissítette a VirtualBoxot.

  3. 1

    A Browexp trójai kifejezetten a webböngészőkbe mentett felhasználói adatokat kémleli. Ezáltal érzékeny információkra is szert tehet.

 
Partnerhírek
Frissíteni kell a WhatsApp üzenetküldőt!

Egy szingapúri IT-biztonsági szakember felfedezte, hogy a népszerű üzenetküldő alkalmazást egy fertőzött GIF segítségével térdre lehet kényszeríteni.

​Zsarolóvírus okozott 95 millió dolláros kárt egy dán cégnek

Még mindig nem épült fel teljesen a szeptember elejei zsarolóvírusos támadásból a dán Demant, amelynek friss pénzügyi jelentése szerint az incidens összesen 95 millió dolláros kárt okozott.

hirdetés
Közösség
1