Falha de segurança do LastPass coloca em risco as suas passwords
Na semana passada foi lançada uma atualização ao serviço de gestão de passwords LastPass. Esta veio corrigir uma falha grave de segurança que expunha as passwords dos seus utilizadores em sites visitados anteriormente.
O problema real só agora foi dado a conhecer, pelo que é fundamental atualizar rapidamente o seu serviço no Chrome e no Opera.
LastPass e a segurança das suas passwords
Não é propriamente uma novidade a existência de notícias que envolvem a segurança de passwords em serviços como o LastPast. Estes serviços de gestão de palavras-passe são ideais para quem quer controlar todos os seus acessos. No entanto, são também uma porta para ataques.
Na semana passada, é provável que a sua extensão do serviço tenha sido atualizada de forma automática. Contudo, se tal não se verificou, o ideal é que proceda imediatamente à sua atualização.
O propósito da atualização, deve-se a uma falha grave de segurança que colocava em risco a segurança das credenciais dos utilizadores.
Os detalhes agora divulgados
O bug foi descoberto no mês passado por Tavis Ormandy, investigador de segurança do Project Zero, a equipa de topo de segurança e caça de bugs da Google.
Agora, uma semana depois o lançamento da atualização, Ormandy partilhou alguns detalhes relativos à falha de segurança encontrada. O relatório de bug do investigador de segurança orienta o invasor pelas etapas necessárias para reproduzir o bug.
Revela então que para esta falha ser explorada é necessário executar um código JavaScript malicioso que pode ser incorporado em qualquer site mascarado por detrás de um URL do Google Tradutor. O invasor pode, então, induzir os utilizadores a aceder ao link e, posteriormente, extrair credenciais de um site visitado anteriormente.
Embora o bug tenha sido referido como de alta gravidade, a LastPass tentou minimizar o problema. Nomeadamente, afirmando que a falha "revelou um conjunto limitado de circunstâncias em extensões específicas do navegador que poderiam permitir ao invasor criar um cenário de clickjacking".
De referir que todas as extensões foram atualizadas. No entanto, o problema apenas se verificou no Google Chrome e no Opera.
Concluindo, independentemente do serviço de gestão de passwords que utiliza, o ideal é ter sempre ativa a autenticação de dois fatores. É importante ainda que altere com frequência as suas palavras-passe e não recicle as antigas.
Tags: lastpasspalavra passepassword
Próximo artigo Wi-Fi 6 lançado oficialmente hoje e chega já com o iPhone 11
Artigo anterior Vencedores do Insight Investment Astronomy Photographer of the Year já são conhecidos!
Guardar todas as passwords num site gerido por terceiros, enviando as passwords pela Internet…
Realmente parece ter uma base de segurança muito boa!
O "cofre" de passwords é apenas desencriptado localmente e a chave privada não é armazenada em base de dados nenhuma… parece-me uma alternativa bastaste mais segura que as práticas "normais"
então isto que aconteceu… não aconteceu?
E com Multi Factor Authentication, só com o segundo factor de autenticação é que se tem acesso ao "cofre"…
16 de Setembro de 2019 às 17:29
lol. Usem algo local tipo o KeePass. "Safes" online não são safes.
Ora nem mais. Eu utilizo o KeePassXC e a base fica bem guardada no meu disco rígido e uma cópia num disco externo.
Nada como ter localmente e sem acesso à internet
O código do Lastpass não é aberto!
Existem soluções baseadas em código aberto e verificado. E que não estão dependentes do envio para um site.
meiometro says:
16 de Setembro de 2019 às 23:01
Bitwarden é open source. E funciona mesmo muito bem.
Verdade, tão boa quanto quem confiar todos seus arquivos a nuvem…
qual é a ultima versão de LastPass
Estou com a 4.33.4.2, no Firefox. Actualizada a 12 de setembro.
Aconteceu o quê? Parece que foi o fim do mundo, mas para mim a montanha pariu um rato… Usem um 2FA decente com as vossas passwords, principalmente com a do LastPass, e podem ficar descansados com o nível de segurança. É muito bom.
Não há maior estupidez do que confiar passwords a terceiros…
Olha que há…
Tem razão, confiar o nosso dinheiro a terceiros é pior que confiar as passwords a terceiros.
16 de Setembro de 2019 às 21:06
Sim existe é achar que elas estão seguras.
Confiar em tudo que a MS faz também é uma bela estupidez
1Password é bem melhor
16 de Setembro de 2019 às 22:59
Há soluções para todos os gostos, e muitas das que falam são pagas.
Há uma solução Open Source e muito boa, esta:
Depois é seguir os links que estão em baixo para integrar com o que se quer.
Até exitem app's para as duas plataformas moveis.
Totalmente free, código aberto para todos verem, fica tudo sempre no dispositivo do utilizador.
Com uma solução destas, utilizar essas tretas de passwords "nas nuvens" é simplesmente inexplicável.
Senhas uso o Bitwarden e depois acompanho com o Authy para 2 fatores para aumentar segurança, ambos têm app para android e extensões para browser permitindo usar em mais do que um dispositivo. Sites bancarios é a password nos miolos :-).
Uso o Bitwarden desde que foi auditado.
É open source, funciona em todos os dispositivos e browsers, é seguro e gratuito!
Acho que dava uma análise interessante aqui no pplware.
Nada melhor que o caderno na gaveta.
Eu uso o Sticky Password e vem várias opções de sincronização: através da internet; sincronização local (através do wifi doméstico) e não sincronizar (guarda os dados localmente no dispositivo/computador).