Lastpass hackat: här är vad du behöver göra

Vi hade älskat LastPass så mycket att vi faktiskt hade kallat det The Best Password Manager. Så när historien om hacket bröt ut för ett tag sedan var vi alla i ett tillstånd av chock. Men betyder det att alla borde släppa ut LastPass och använda något annat? Är dina lösenord säkra i molnet? Kan vi lita på företaget igen? Det är vad vi försöker ta reda på.

Få inte panik

Självfallet är detta det första som måste göras. Att få panik, eller ännu värre, sprida falsk information via vilket medium som helst, är bara inte det rätta sättet att svara på någon kris. Det är naturligt att känna sig rädd när du läser en nyhet som denna, men du måste inse att onödig panik bara inte tjänar något syfte. I deras blogginlägg har LastPass gjort det klart, och jag citerar,

I vår utredning har vi inte funnit några bevis för att krypterade data från användarvalv togs, och att användarkonton för LastPass inte var tillgängliga.

Ja, det fortsätter med att säga det

Undersökningen har emellertid visat att LastPass-konto-e-postadresser, lösenordpåminnelser, server per användarsalter och autentiseringshas komprometterades.

Men vad betyder det, frågar du? Enkelt uttryckt betyder det att alla dina lösenord är säkra, men det kan hända att annan information inte finns. För vilka återigen har blogginlägget redan gett några användbara tips.

Ja, data från lösenordshanterare lagras i molnet, men informationen är krypterad direkt på din dator. Och även om molnberäkningsarkitekturen medför en liten risk kan du fortfarande vila enkelt med att veta att all krypterad data aldrig lagras där. Som innehåller alla dina lösenord.

Användbart tips: Kolla in vår ultimata guide om lösenord för att veta allt om hur du skapar och hanterar lösenord på internet.

Förebyggande är alltid bättre än botemedel

Det här gamla ordspråket kunde aldrig vara mer relevant än i dessa tider av internet-snooping och förlust av integritet. Här är några steg som du bör följa när det gäller ditt LastPass-konto för att säkerställa att du inte tappar sömn i samband med sådana incidenter.

Ändra huvudlösenordet

För att ändra Master Password för LastPass klickar du bara på Inställningar, där du hittar avsnittet Kontoinställningar till vänster. Om du klickar kommer du att kunna klicka här för att starta kontoinställningar som visas nedan.

Klicka genom att öppna en ny flik, där allt du behöver göra är att trycka på knappen Ändra huvudlösenord och gå efter ett nyare (och starkare) alternativ.

Det är det, det viktigaste steget som du bör göra efter att denna händelse är klar!

2-faktorautentisering och andra säkerhetsalternativ

Vi anser att det är en bra idé att använda tvåfaktorautentisering där det är möjligt och särskilt på platser där känslig data lagras. LastPass är helt korrekt när det gäller att föreslå användning av denna tjänst och vi anser att du bör göra det direkt efter att du har ändrat ditt huvudlösenord. I själva verket, medan du är på det, kan du överväga att lägga till 2-stegs autentiseringsfaktor till alla tjänster du använder som innehåller känslig information.

I LastPass hittar du multifaktoralternativ i kontoinställningar (se ovan). Det är här du hittar alternativ för att ytterligare säkra ditt LastPass-konto. Du ser också alternativet Grid Authentication som vi har skrivit om tidigare.

Landsbaserad begränsning

Ett annat säkerhetslager som LastPass låter sina användare att utforska är den landsbaserade restriktionspolicyn. När detta är aktiverat kommer detta endast att tillåta enheter som kommer från ditt hemland att få åtkomst till dina LastPass-uppgifter. Om en enhet från något annat land försöker komma åt den kommer de att visa ett felmeddelande. Vi har behandlat detta mycket detaljerat och du bör definitivt läsa det om du inte redan har gjort det.

Fortfarande orolig?

Var inte det. Det finns inget mer att göra här. LastPass har redan uppdaterat sin säkerhet och uppmanar redan användare att verifieras via e-post om de använder en ny enhet eller en ny IP. För att verifiera detta försökte vi just det och rapporterade gärna att detta steg fungerar precis som det annonserades.

Befintliga användare uppmanas också att ändra sitt huvudlösenord, men även om du inte får den frågan uppmanar vi dig att göra det ändå. Till sist vill vi citera Jeremi Gosney (en lösenordsäkerhetsekspert på Stricture Group) som talade med Ars Technica om hacket -

På en NVIDIA GTX Titan X, som för närvarande är den snabbaste GPU för lösenordssprickning, skulle en angripare bara kunna göra färre än 10 000 gissningar per sekund för ett enda lösenord hash. Det är ordentligt långsamt! Även svaga lösenord är ganska säkra med den skyddsnivån (såvida du inte använder ett absurd svagt lösenord.) Och detta står inte ens för antalet iterationer på klientsidan, som kan konfigureras av användaren. Standardvärdet är 5 000 iterationer, så vi ser åtminstone 105 000 iterationer. Jag har faktiskt satt mig till 65 000 iterationer, så det är totalt 165 000 iterationer som skyddar mitt lösenord för Diceware. Så nej, jag svettar definitivt inte detta brott. Jag känner mig inte ens tvungen att ändra mitt huvudlösenord.

Faktum är att en hel del medlemmar i vårt eget team använder verktyget och vi har gjort exakt samma saker som vi har sagt ovan. Och nu vill vi sprida kunskapen till så många människor som möjligt.

Vill du prova alternativ?

Okej, om du känner att du har tappat förtroendet för LastPass på grund av allt detta, så finns det naturligtvis alltid alternativ. Om du är villig att investera lite pengar (och en del av den förlorade troen) finns det alltid 1Password. Det är samma arkitektur och säkerhetsåtgärder som spelas, men Agilebits, företaget bakom 1Password, har bättre resultat än LastPass. Med det menar vi att det aldrig har hackats. Har inte rapporterats, för att vara mer exakt. Än.

Överför dina lösenord i iOS: Det är enkelt att överföra dina data från LastPass till 1Password för iOS när du har läst vår användbara artikel om det.

Om du inte vill spendera någonting finns det ett gratis alternativ. Det heter KeepPass och det är också open source. Och vi har också skrivit en guide för att överföra dina LastPass-lösenord till Keepass.

Även om det inte är så bekvämt som 1Password, om du är villig att spela runt, kan några plugins läggas till för att matcha funktionaliteten i dess betalda peer. Men det kräver viss tålamod, så var beredd.

Våra 2 cent

Det är väldigt lätt att skylla ett företag och säga att de inte var försiktiga med dina uppgifter. Men det är lika bra som att skylla på banker när det finns ett rån. Människor har inte slutat lägga sina pengar där och du bör inte heller sluta lita på lösenordshanterare, bara för att en var hackad.

Vi säger inte ens att säkerheten var slapp från LastPass 'sida, men de måste definitivt dra upp strumporna. Det var inte första gången ett hot upptäcktes i deras system, men båda gångerna stuldes / förlorades inget större. De agerade snabbt och snabbt meddelade användare och har redan hanterat säkerhetsproblemet som leder till detta. Med lite mer försiktighet själv kan du säkerställa ett mycket lyckligare sinnestillstånd. Om du kan spendera all den tiden på att tänka på din banksaldo, är vi säkra på att du kan skona några tankar för lösenorden som också håller dem säkra?