--->
AfterDawn logo

Suosittuun salasanahallintapalveluun tunkeuduttiin

Manu Pitkänen Manu Pitkänen
17 kommenttia

Suosittu salasanojen hallintapalvelu LastPassin mukaan se havaitsi verkossaan viime viikolla epäilyttävää toimintaa, minkä johdosta on syytä olettaa, että ulkopuolinen hyökkääjä on päässyt käsiksi tiettyihin palvelun käyttäjiin liittyviin tietoihin.

Hyökkääjällä on ollut mahdollisuus päästä käsiksi LastPassin käyttäjien sähköpostiosoitteisiin, salasanamuistutuksiin, käyttäjäkohtaisiin suolauksiin ja autentikointitiivisteisiin. Käyttäjien verkkopalveluissa käyttämiin salasanoihin ei ole kuitenkaan päästy käsiksi, eikä LasPass-tileille ole murtauduttu.

LastPass on vakuttunut, että sen suojausmenetelmät ovat olleet niin vahvoja, että useimpien käyttäjien kohdalla ei ole aihetta panikointiin. Varotoimenpiteenä LastPass kuitenkin ilmoittaa tapauksesta käyttäjilleen sähköpostitse, minkä lisäksi käyttäjien on varmennettava sisäänkirjautuminen sähköpostilla, mikäli he käyttävät LastPassia uudella laitteella tai uudesta IP-osoitteesta käsin. Käyttäjiä kehotetaan myös vaihtamaan pääsalasana.

11 KOMMENTTIA

DjZorlag1/11

Lainaus, alkuperäisen viestin kirjoitti Manu Pitkänen:

"käyttäjäkohtaisiin suolauksiin"

On siis syytä olettaa että LastPassin käyttäjät on nyt suolattu?

RekookeR2/11

Eipä ole tullut sähköpostia asiaan liittyen ja toisaalta kukaan ei olisi tehnyt mitään mun salasanoilla tai salasanamuistutuksilla, koska vain itse kykenen purkamaan niiden salauksen.

Lumikki3/11

Lainaus:

On siis syytä olettaa että LastPassin käyttäjät on nyt suolattu?


Vaikea sanoa kun molemmissa tilanteissa julkinen ilmoitus olisi ollut sama, päästiin niihin käsiksi tai ei. Koska yritys ei voi ilmoittaa julkisesti asiaa joka kaataisi koko sen yritystoiminnan perustan. Joten jos käyttäjä haluaa vetää varman päälle niin pitää olettaa että yritys valehtee vakavuudesta. Toisaalta ihminen joka käyttää tätä palvelua ei ole kovinkaan tietoturva tietoinen.

ramiselin4/11

Lainaus, alkuperäisen viestin kirjoitti RekookeR:

Eipä ole tullut sähköpostia asiaan liittyen...

Itselleni tipahti tänään kuuden aikaan aamulla viesti otsikolla "LastPass Security Notice".

Lumikki5/11

Lainaus:

Ymmärsinkö oikein, eli käytännössä kaikki vietiin.


Ei, ne sanoo että kaikkea ei viety, mutta ongelma on että jos kaikki vietäisiin niin sanoisiko ne edes sen julkisuuteen. Koska se tarkoittaisi että koko palvelun idea olisi tavallaan pilalla. Turvaamme asian mutta se ei ole oikeasti turvassa. Ymmärrät varmaan yskän.

Lainaus:

Eli tuota taitaa käyttää ne jotka ovat kyllä tietoturva tietoisia, mutta luottavaisia.


Miten tämän sanoisi, ihminen voi tietää mitä tietoturva on mutta hän ei välttämättä ole sisäistänyt asiaa jotta hän osaisi noudattaa tietoturvaa. Koska jos hän olisi sisäistänyt mitä tietoturva oikeasti on niin hän myös noudattaisi tietoturvaa. Ihminen joka siirtää salasanansa kolmannen osapuolen haltuun (pilveen) oli ne salattuna tai ei, ei noudata tietoturvaa.

Lumikki6/11

Lainaus:

Uutisen tyyppisten palveluiden käyttö on usein iso harpapus ns taviksen tietoturvassa.


Kyse on useasta asiasta eli koko tietoturvassa on kyse pääsystä johonkin johon ei saisi päästä. Fyysinen pääsy vaatimus on täysin eri kuin digitaalinen pääsy. Internet on maailman turvattomin asia salaisuuksille, koska siellä internetissä ei ole oikeaa yksityisyyttä olemassakaan.

Sellaiset ihmiset jotka ei tajua tietoturvan päälle yhtään mitään niin heidän tietoturvansa ei parannu siitä että mennään ojasta allikkoon. Valheellinen turvallisuus ei ole turvallisuutta.

Lumikki7/11

Lainaus:

Yleensä noita palveluita käytetään netissä käytettävien tietojen säilömiseen, esim jos tämän sivuston tunnukset on siellä, niin lähtökohtaisesti se on pienin riski. Jos siellä pidät kassakaappisi numeroyhdistelmää ja vertaat riskiä siihen että pitäisit sitä fyysisesti kassakaapin lähettyvillä. jälkimmäiseen riittää pääsy kassakaapin lähettyville, pilvipalvelu tapauksessa tarvitaan murto ja salauksen purku + se fyysinen pääsy kassakaapin luokse.


Kuinka monella ihmisellä on maailmassa internet yhteys ja näin pääsy siihen palveluun, sekä kuinka moni heistä osaisi murtaa sen julkisessa internetissä olevan palvelun.

Kuinka monella ihmisellä on mahdollisuus löytää sinut fyysessä maailmassa ja taloudelliset edellytykset päästä sinun luoksesi, sekä vielä omata kyky murtaa se kassakaappi.

Vertaa noita kahta asiaa.

Lainaus:

En tiedä mihin moista kuvittelet yleisesti käytettävän ja unohdatko kokonaan että ne käyttäjien (netti) koneet on siellä internetissä myös, sillä erolla että niiden yllpito on täysin amatoorien käsissä.


Aika typerä kommentti eli verrata työasemaa ja palvelinta. Jopa ammattilaisella on vaikeuksia taata palvelimen tietoturvallisuus internetissä, mutta vähänkin tietoturvasta tietävä amatööri pystyy hyvään työasema (netti) tietoturvaan, jos haluaa noudatta tietoturvaa. Tähän asiaan on olemassa syys mutta sinä et taida edes tietää sitä.

JoniS8/11

Lainaus:

Jopa ammattilaisella on vaikeuksia taata palvelimen tietoturvallisuus internetissä

Enneminkin mahdotonta, kuin vaikeata, eiköhän kasperskyn verkkoon murtautuminen ja sen valvominen todistanut sen.

Lumikki9/11

Lainaus:

miksi pistit jäkimmäiseen enemmän rajoittavia ehtoja ?


Ei siinä ole yhtään enempää, vaan internetistä yksinkertaisesti puuttuu fyysinen matkustamien, joka tarvitaan fyysisessä maailmassa pisteen A ja B välillä. Kyse on internetin luonteesta ja se jo itsessään heikentää tietoturvaa.

Lainaus:

En tiedä mitä tarkoitat.

Ei tarvi edes kuvitella vähän tietävän yksittäisen amatöörin mahdollisuuksia.


Aivan, et tiedä koska et tunne tekniikkaa ja tietoturvaa riittävän hyvin, mutta silti haluat väitellä asiasta. Tässä vielä vinkki asiaan 172.16.0.0 mutta tuskin sittenkään tiedät mistä asia johtuu. Sen sijaan vähänkin tietoturvasta tietävä tajuaa asian heti. Miksi testaan sinua? Koska jos et ymmärrä edes tuota niin sinulla ei ole tietototurva väittelylle perustaa, koska luulet että internettiin kytketty työasema ja palvelin on tietoturvallisesti samalla tasolla.

Jotta voit sanoa että jokin on turvallisempi kuin toinen niin sinun pitää ymmärtää asia muutenkin kuin yleisellä tasolla. Eli ymmärtää eri vaihtoehtojen tietoturvallisuudet toisiinsa verrattuna eli muutkin vaihtoehdot kuin se mistä mentäisiin mihin. Ojasta allikkoon.

Lumikki10/11

Lainaus:

Jep, en myöskään kuvittele että vähän tietävä amatööri tuntisi, saati pystyisi huolehtiin tieturvasta ammattilais mittareilla hyvin.


Silti vaikka sinä, joka olet täysi tumpelo näissä asioissa neuvoo muille tumpeloille että joku vaihtoehto tuntuu hyvältä. Eikö sinulle edes hetkeksi ole tullut mieleen kysyä asiaa sellaiselta joka oikeasti tietää jotain.

Lainaus:

Mutta siis holvipilvipalvelut nään entistä suosteltavampana, keskiverto, ja jopa vähän tietäväien amatoorien käyttöön.


Sanoo henkilö joka ei ymmärrä asiaa oikeasti. Sinä oletat että joku asia on parempi ilman että edes ymmärrät asioita.

Lainaus:

Kannattaa kuitenkin ensin tutustua ohjeistuksiin ja pitää mielessä että salaisuus voi niissäkin paljastua.


Ihan hyvä neuvo kun tämä kyseinen uutinen on juuri sitä että tälläinen palvelu osittain murrettiin. Kannattaa myös pitää mielessä että mitä keskitymmin suuren massan salaisuudet ovat jossain palvelussa sitä houkuttelevammaksi sen murtaminen tulee ja Internet on huonoin mahdollinen paikka salaisuuksien säilyttämiseen.

Valkeakuulas11/11

Lainaus, alkuperäisen viestin kirjoitti Lumikki:

Lainaus:

Internet on maailman turvattomin asia salaisuuksille, koska siellä internetissä ei ole oikeaa yksityisyyttä olemassakaan.


Jos on tällä tasolla huolissaan turvallisuudestaan kannattaa suosiolla pysyä poissa täältä pahasta Internetistä eikä tulla esittämään asiantuntijaa ja nimittelemään muita tumpeloiksi.

Normaaleille ihmisille salasanamanagerit tuovat merkittävää lisäturvaa jos niiden avulla käyttäjä pystyy käyttämään monimutkaisempia, pidempiä ja palvelukohtaisia salasanoja. Lastpass on yksi parhaista salasanamanagereista ellei jopa paras (disclaimer: minulla ei ole kyseisen palvelun kanssa mitään tekemistä, en edes itse käytä sitä).

Ja tässä asiasa ei todellakaan kannata uskoa meitä anonyymejä nettikommentoijia vaan lukaista mitä esimerkiksi sellaiset tietoturva-asiantuntijat kuin Bruce Schneier, , Brian Krebs tai Steve Gibson asiasta sanovat.

TÄMÄN UUTISEN KOMMENTOINTI ON PÄÄTTYNYT

Seuraa! Kirjekuoren symboli
Uutiskirje
Threadsin logo
Threads
Blueskyn logo
Bluesky
Mastodonin logo
Mastodon
Sulje palkki