这是一个创建于 1042 天前的主题，其中的信息可能已经有所发展或是发生改变。
刚刚 Chrome Android 给我推了一片博文，提到了 LastPass 的密码库泄露了。我去看了一下 LastPass 的公告
主要信息：
- 数据库泄露与 8 月份的发现安全问题有关，攻击者拿到了云存储服务的访问凭证
- 泄露的数据库包含一些未加密的字段（例如 URL ），也包括加密的字段（用户名和密码）
- 按照 LastPass 团队的说法，如果主密码安全的话，数据库仍然是安全的
还在用 LastPass 的同学建议尽快考虑换到别的密码管理器，特别是你的 LastPass 主密码并不是专用的或者强度不够的情况。至少亡羊补牢吧
（无关吐槽：LastPass 到今天真的是咎由自取。我以前是付费用户，当时只要 1$一个月，还参与过 LastPass 扩展程序的本地化翻译。后面涨价、强制 PC 移动二选一、放弃中文语言支持各种无语操作，最后在今年 5 月的时候因为选项里的隐藏右键菜单功能完全不工作，换到了 BitWarden ）
原文: https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/
 | 1 tenfly001 2022-12-23 20:23:23 +08:00 不如直接 1Password |
 | 2 zjp 2022-12-23 20:25:35 +08:00 下午已经删了帐号，原因写的是 data leak... 删除前导出数据也是很难用 |
 | 3 wikinee 2022-12-23 20:28:08 +08:00 via Android 用了好几年，后来收费了限制移动端，我就转投微软 authenticator ，现在全部上 edge 。国产这边本来想用 360 ，但是他们不支持多端密码同步，嗯… |
 | 4 bgm004 2022-12-23 20:47:46 +08:00 via Android 从浏览器拓展删除中文的时候就删除账号了。 |
 | 5 wu67 2022-12-23 20:51:56 +08:00 之前我就删号了, 现在不重要的我直接写 csv, 重要的用脑子记同一个复杂密码 |
 | 6 UXha45veSNpWCwZR 2022-12-23 20:57:50 +08:00 via iPhone 我也收到过两次邮件，英文没看懂。原来是秘密泄露了。如果我很懒去搬秘密的话，改主秘密是不是可以解决？ |
 | 7 |
 | 8 PrinceofInj 2022-12-23 21:53:15 +08:00 via Android 还好我看到八月份的新闻后把 lastpass 上的密码都删了。之前不用好久了，但是一直没删除内容。这下怕是 lastpass 要破产了。 |
| 9 UXha45veSNpWCwZR 2022-12-23 21:59:03 +08:00 via iPhone 泄露了数据库，但主秘密没有泄露。黑客需要猜到我的主秘密才能解密出我所有的秘密，对吧？ |
 | 11 ixinshang 2022-12-23 22:58:46 +08:00 感觉这家 都成密码泄露常客了？ |
 | 12 infinityv 2022-12-23 23:06:22 +08:00 via iPhone 明天研究下 bitwarden |
 | 13 patrickyoung 2022-12-24 02:08:06 +08:00 via iPhone  2 但是，你们一定没有上 Twi 看。有圈内相对有威望的人研究了这玩意的本地存储。结论是：密码的元数据（ URL 名字，和所谓的 Secured Notes) 都没有加密存储，只有用户名和密码是加密的。懂点社工的可能现在已经意识到问题了。 |
| 14 patrickyoung/a> 2022-12-24 02:09:34 +08:00 via iPhone 2 我重点想提的是: URL 里可能有的 Token/SessionID; Secure Notes 里潜在的 2FA Recovery Code/密保问题答案等等。 |
 | 15 kenpuluma 2022-12-24 07:53:53 +08:00 虽然我强烈推荐 bitwarden ，但人家这篇 blog 明显说的是之前那次泄露的调查进展。。可见有多少人不懂英语 /不仔细看内容 |
 | 16 benedict00 2022-12-24 08:21:38 +08:00 via Android 联网的都不如 keepass |
 | 17 ouou0701 2022-12-24 17:46:21 +08:00 家用 nas 架设 bitwarden 服务，感觉很好用 |
| 18 Nile20 OP @patrickyoung 我确实没有上 Twitter 看，因为我没有在用了，所以没有特别关注。LastPass 的公告里说 Security Notes 是加密的 The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data. 刚刚上 Twitter 看了一下，找到的也是说 Secure Notes 是加密的，你看到的推文能指路个链接么？ URL 这个确实是问题，URL 也可能包含敏感信息。 |
 | 19 libook 2022-12-26 14:26:53 +08:00 LastPass 的安全事故都快成月经问题了……到现在还没倒闭也挺命硬的了。 我也曾经是付费大冤种，后面客户端摆烂之后就全数迁移到自建 Vaultwarden 了。 LastPass 和很多主流密码库一样都是本地加解密机制，理论上云端服务器上只存储加密后的数据，所以理论上只要主密码不被人撞库就没问题。 |
 | 20 lookStupiToForce 2022-12-26 17:40:44 +08:00 身为 lastpass 大冤种 现在还在使用它的唯一原因就是拖延症...... |
 | 21 我虽然也是家里 nas 搭了 bitwarden ，但我也还在同时用 lastpass 。。。。感觉我像个。。。。 |
 | 22 ciki 2022-12-26 19:37:58 +08:00 前两个月已经删除账号并且迁移到 bitwarden ，主要是受不了每次上线都要重新登陆 |
 | 23 lucacham 2022-12-28 10:59:40 +08:00 记得以前就看过这家的新闻。。。。 |
 | 24 kawaii303 2023-01-05 12:53:35 +08:00 还是要尽快把密码库里面的密码改了，从重要的先开始。 |
| 25 UXha45veSNpWCwZR 2023-01-22 12:41:35 +08:00 @libook 为什么主密码不加上谷歌的二次验证码呢?感觉这样更加安全 |
| 26 libook 2023-01-22 15:24:04 +08:00 via Android 1 @MeteorVIP 本地加解密方式跟动态密码可能不兼容，因为密文是确定的。动态密码可能更适合登录，而不是给固定密文解密。 lastpass 的安全事件是密文泄露，绕过了登录环节，动态密码可能根本不起作用。 |
 | 27 lentrody 2024-06-30 19:24:41 +08:00 Lastpass 发来邮件提示出现陌生 IP 登录，估计是这次泄露的密码库终于被爆破了。 |
Select Language