LastPass 的密码库泄露了，还在用的同学建议尽快采取措施

This topic created in 1265 days ago, the information mentioned may be changed or developed.

刚刚 Chrome Android 给我推了一片博文，提到了 LastPass 的密码库泄露了。我去看了一下 LastPass 的公告

主要信息：

数据库泄露与 8 月份的发现安全问题有关，攻击者拿到了云存储服务的访问凭证
泄露的数据库包含一些未加密的字段（例如 URL ），也包括加密的字段（用户名和密码）
按照 LastPass 团队的说法，如果主密码安全的话，数据库仍然是安全的

还在用 LastPass 的同学建议尽快考虑换到别的密码管理器，特别是你的 LastPass 主密码并不是专用的或者强度不够的情况。至少亡羊补牢吧

（无关吐槽：LastPass 到今天真的是咎由自取。我以前是付费用户，当时只要 1$一个月，还参与过 LastPass 扩展程序的本地化翻译。后面涨价、强制 PC 移动二选一、放弃中文语言支持各种无语操作，最后在今年 5 月的时候因为选项里的隐藏右键菜单功能完全不工作，换到了 BitWarden ）

原文: https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/

lastpass

密码

泄露

数据库

27 replies • 2024-06-30 19:24:41 +08:00

tenfly001

Dec 23, 2022

不如直接 1Password

zjp

Dec 23, 2022

下午已经删了帐号，原因写的是 data leak...
删除前导出数据也是很难用

wikinee

Dec 23, 2022 via Android

用了好几年，后来收费了限制移动端，我就转投微软 authenticator ，现在全部上 edge 。国产这边本来想用 360 ，但是他们不支持多端密码同步，嗯…

bgm004

Dec 23, 2022 via Android

从浏览器拓展删除中文的时候就删除账号了。

wu67

Dec 23, 2022

之前我就删号了, 现在不重要的我直接写 csv, 重要的用脑子记同一个复杂密码

UXha45veSNpWCwZR

Dec 23, 2022 via iPhone

我也收到过两次邮件，英文没看懂。原来是秘密泄露了。如果我很懒去搬秘密的话，改主秘密是不是可以解决？

Nile20

Dec 23, 2022

@MeteorVIP 并不能……攻击者拿到了 LastPass 的数据库，你改主密码只能对今后的数据生效。如果此前你的主密码不够安全，比如在别的网站使用过或者是弱密码的话已经无济于事了

PrinceofInj

Dec 23, 2022 via Android

还好我看到八月份的新闻后把 lastpass 上的密码都删了。之前不用好久了，但是一直没删除内容。这下怕是 lastpass 要破产了。

UXha45veSNpWCwZR

Dec 23, 2022 via iPhone

泄露了数据库，但主秘密没有泄露。黑客需要猜到我的主秘密才能解密出我所有的秘密，对吧？

Nile20

Dec 23, 2022

@MeteorVIP 是的

ixinshang

Dec 23, 2022

感觉这家都成密码泄露常客了？

infinityv

Dec 23, 2022 via iPhone

明天研究下 bitwarden

patrickyoung

Dec 24, 2022 via iPhone

但是，你们一定没有上 Twi 看。有圈内相对有威望的人研究了这玩意的本地存储。结论是：密码的元数据（ URL 名字，和所谓的 Secured Notes) 都没有加密存储，只有用户名和密码是加密的。懂点社工的可能现在已经意识到问题了。

patrickyoung

Dec 24, 2022 via iPhone

我重点想提的是: URL 里可能有的 Token/SessionID; Secure Notes 里潜在的 2FA Recovery Code/密保问题答案等等。

kenpuluma

Dec 24, 2022

虽然我强烈推荐 bitwarden ，但人家这篇 blog 明显说的是之前那次泄露的调查进展。。可见有多少人不懂英语 /不仔细看内容

benedict00

Dec 24, 2022 via Android

联网的都不如 keepass

Shaar

Dec 24, 2022

家用 nas 架设 bitwarden 服务，感觉很好用

Nile20

Dec 24, 2022

@patrickyoung 我确实没有上 Twitter 看，因为我没有在用了，所以没有特别关注。LastPass 的公告里说 Security Notes 是加密的
The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data.

刚刚上 Twitter 看了一下，找到的也是说 Secure Notes 是加密的，你看到的推文能指路个链接么？
URL 这个确实是问题，URL 也可能包含敏感信息。

libook

Dec 26, 2022

LastPass 的安全事故都快成月经问题了……到现在还没倒闭也挺命硬的了。
我也曾经是付费大冤种，后面客户端摆烂之后就全数迁移到自建 Vaultwarden 了。

LastPass 和很多主流密码库一样都是本地加解密机制，理论上云端服务器上只存储加密后的数据，所以理论上只要主密码不被人撞库就没问题。