Casseforti di LastPass sottratte nel recente data breach

ag23900 ho esportato i miei dati, cancellato tutto e reimportato su BitWarden in forse 10 minuti..

si è un attimo,avevo provato tempo fa dashlane...

domanda a voi esperti: ma con un data breach,serve avere una password forte,con caratteri speciali,minuscole,maiuscole?non viene decriptata?o dipende di che data breach si tratta?

ps.: 1 password su iOS la nuova versione 8 sta riscontrando problemi(non funziona face id)con la precedente 7 invece era tutto ok

Marco25 bon,allora mi sento abbastanza sicuro...abbastanza

Marco25 Attenzione al phishing. Gli URL sono in chiaro nel data breach, insieme ai dati di fatturazione e email. Questi potrebbero essere usati per inviare email di phishing particolarmente convincenti.

ok grazie!

e su dashlane e roboform che pareri ci sono in merito alla qualità del processo di gestione?

Non sono un esperto di sicurezza informatica e quello che sto per scrivere farà storcere il naso a molti, ma non ho mai capito perché usare un gestore di password in cloud. Io uso KeePass in locale con una master key di 17 caratteri alfanumerici e caratteri speciali, un file key salvato su ogni pc che uso e il DB caricato su un hosting di quelli usati per siti web. Ho la stessa comodità di servizi come Lastpass senza dovermi preoccupare di eventuali data breach.
Sicuramente non sarà il server più protetto del mondo, ma ritengo che uno dei problemi del cloud sia l'aggregazione di migliaia di dati presso un unico provider, e questo è il motivo per cui non ho messo il database su Google Drive. Nel mio caso un malintenzionato dovrebbe sapere dove sta il mio database, hackerare il server, provare a decriptare la master key senza comunque avere il file chiave, tutto per recuperare bene che vada una quarantina di mie password. E dentro KeePass non tengo comunque dati bancari, quelli sono su un file di testo in una cartella dello smartphone protetta dall'impronta, senza riferimenti alle banche e in mezzo ad altri numeri e lettere fittizzi scritti casualmente e non riferiti a nessun servizio.
Non avrò mai la sicurezza al 100% ma in questo modo mi sento sicuro perché tutti i miei dati non passano per soggetti terzi.

magick81 ma non ho mai capito perché usare un gestore di password in cloud

Perché non tutti hanno poche password, io sono sulle 500 circa e spesse volte devo aggiornare roba, o aggiungere una nuova password al volo per usarla da un'altra parte, sai che rogna dover ogni volta sincronizzare a mano?

magick81 un file key salvato su ogni pc che uso

Così se ti serve di accedere da un altro PC sei fregato, oltre che se ti fottono il disco hanno il tuo bel DB

magick81 il DB caricato su un hosting di quelli usati per siti web

Ottima sicurezza, io considererei di tornare al cloud gestito da qualcuno di forse più competente.

magick81 Ho la stessa comodità di servizi come Lastpass senza dovermi preoccupare di eventuali data breach

HAHAHAHHAHAHAHHAHAHAHHAHA

magick81 quelli sono su un file di testo in una cartella dello smartphone protetta dall'impronta

Spero tu abbia un telefono dotato di qualche sistema serio di sicurezza

matteocontrini Meanwhile LastPass sta bloccando la possibilità di cancellare l'account, se qualcuno aveva ancora dubbi sul servizio: https://infosec.exchange/@chiesennegs/109570145849933257 (notare il delete_account.php...)

Madonna che clownata

Marco25 Mi sembrano tanto quei post da social blu in stile pulisci le zampe del gatto con la candeggina prima di farlo entrare, sia mai che abbia pestato il covid...

simonebortolin e invece e' una cosa che ha molto senso, se si considera Google Drive una soluzione accettabile (quindi se sta bene usare un account Google con tutte le conseguenze del caso)

Attualmente sto usando BitWarden, in precedenza 1Password.

LATIITAY sullo smartphone non ho fatto l'accesso al cloud del produttore, solo all'account Google e ho comunque impostato di non sincronizzare nulla, solo le email con l'app Gmail. La cartella protetta è una sezione dello storage che comunque non verrebbe sincronizzata. Però in effetti potrei creare una voce su KeePass con nome fittizio e tutto salvato nelle note in mezzo ad altri dati non reali.
matteocontrini ho provato a usare Lastpass e sinceramente la comodità in più rispetto a KeePass non l'ho vista. Certo non posso accedere se non ho il mio pc con me, ma non ne ho mai sentito l'esigenza. In realtà potrei anche portarmi dietro il key file, un po' più scomodo ma penso che la sicurezza sia principale.

LucaTheHacker io non sincronizzo nulla a mano, KeePass accede al DB direttamente dall'hosting, quindi semplicemente lo apro, modifico o aggiungo voci e salvo, esattamente come farei con Lastpass.
Per il resto invece di ridere argomenta. Non ricordo di aver mai letto di provider hosting hackerati, proprio perché di solito non c'è niente di importante da sottrarre, al massimo qualche attacco brute Force verso i login di WordPress. Il senso della sicurezza nelle mie impostazioni è non affidarsi a sistemi informatici di terzi che possono sempre essere hackerati, ma rendere sconveniente il rapporto costi benefici dell'operazione. Almeno come dice Edofullo qualcuno non abbia preso di mira proprio me, ma in quel caso le rogne per me sarebbero maggiori di un DB sottratto a cui comunque non si potrebbe accedere senza password principale e key file.

P.S. Scusate ma non so come si quota, per cui ho citato solo i nickname.

magick81 sullo smartphone non ho fatto l'accesso al cloud del produttore, solo all'account Google e ho comunque impostato di non sincronizzare nulla, solo le email con l'app Gmail

Eh, magari fosse cosi' semplice. Google ha cmq pieno accesso allo smartphone, pari a cio' che avrebbe l'utente con l'accesso di root. Che poi ci si voglia fidare di Google, che non faccia cose che non gli vengano dette, che non venga bucato, e anche che non venga mai bucato il proprio account Google collegato al telefono, ok... Io non mi fiderei mai cosi', ma d'altronde da parecchi anni e' impossibile utilizzare un telefono con Google Android nuovo senza procedere cosi' (e senza invalidare la garanzia). Ma cmq io preferirei lo stesso KeePass

In particolare per Gmail pero', mi ricordo che su Google Android relativamente recente (era l'anno scorso su un telefono nuovo di fascia media uscito da poco) per attivare la sincronizzazione automatica dell'email Gmail (e quindi poter ricevere le notifiche delle mail in arrivo) bisognava attivare la sincronizzazione dell'intero telefono, o perlomeno questo era cio' che un prompt chiedeva con insistenza di fare... Poi non saprei se si riesca effettivamente ancora a disattivare la sincronizzazione di tutto tranne Gmail...

magick81 P.S. Scusate ma non so come si quota, per cui ho citato solo i nickname.

Dopo aver selezionato il testo, compare l'opzione "Cita"