Parhaat ohjelmat salasanojen säilytykseen

[=JP=]

Koetin selata ketjua hetken, mutta ei löytynyt ensisilmäyksellä täältä eikä hausta: Onko joku ilman sidonnaisuuksia vaivautunut koostamaan asiaa aloittelijoille suomeksi? Olisin kiitollinen jos joku asiaa tunteva saisi alkeet jopa ketjun aloitusviestiin (tai jos aloitusviestin kirjoittaja ei enää katsele ketjua, niin koostaja tekisi sitten uuden ja lukitsisi tämän vanhan). Saisi ainakin nykyhetken koosteen laajempaan jakoon, vaikka koostaja ei sitä lupautuisikaan päivittämään. Miksei olisi jopa artikkelin arvoinen asia, on ainakin ajankohtainen nyt kun turvallisuudesta puhutaan paljon.

Onko bitwarden nyt se mihin ohjata oletuksena, jos niin miksi tarkalleen, ja mitä odottaa?

Eiköhän periaatteet ole edelleen samat, joten tuolla varmaan pääsee alkuun...

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.

Hyväksy kolmannen osapuolen evästeet

Escalibur täältä IO-techistä on tehnyt muitakin videoita erinäisistä asioista, joten kannattanee vilasta kanavaa laajemminkin.

Bitwarden on aikas laajalti suositeltu ja tällä hetkellä hyvin suosittu palvelu salasanojen tallentamiseen.

 

[Moilaps]

Hommasin tuon bitwardenin vuositilauksen. Minulla on käytössä MS Authenticator bitwardenille, mutta mietin kannattaako tuo email 2FA laittaa ollenkaan päälle? Toinen kysymys asian vierestä on että mitä jos puhelin hajoaa/häviää niin miten tuon MS authenticatorin saa takaisin käyttöön?

 

[Tigiiz]

Hommasin tuon bitwardenin vuositilauksen. Minulla on käytössä MS Authenticator bitwardenille, mutta mietin kannattaako tuo email 2FA laittaa ollenkaan päälle? Toinen kysymys asian vierestä on että mitä jos puhelin hajoaa/häviää niin miten tuon MS authenticatorin saa takaisin käyttöön?

Jos kyseessä Premium -> siinä olis mahollisuus myös FIDO2, jolle vahva suositus. Esim Yubikey Usb turva-avain, jota käyttäisi apin sijaan ja on turvallisempi. Toki hyvä olla toinen avain backuppina esim jos joutuupi hukkaan tms.

 

[Paapaa]

Kaikkien 2FA-menetelmien kanssa kandee olla backup mietittynä, oli se sitten Yubikey, joku Authenticator-ohjelma tms. Aina voi käydä niin että se 2FA-laite hajoaa tai katoaa. Esim. BitWarden tarjoaa palautuskoodeja, joilla 2FA:n voi hoitaa jos muu ei toimi. Ne pitää tietty säilyttää turvallisesti.

 

[Hans Niskatuki]

Minulla on käytössä MS Authenticator bitwardenille, mutta mietin kannattaako tuo email 2FA laittaa ollenkaan päälle? Toinen kysymys asian vierestä on että mitä jos puhelin hajoaa/häviää niin miten tuon MS authenticatorin saa takaisin käyttöön?

MS Authenticatorista löytyy nykyään asetuksista varmuuskopiointimahdollisuus (Asetukset - Varmuuskopio - Pilvipalveluvarmuuskopio). Joskus vuonna miekka ja kilpi kun ainakin tietyissa kilpailevissa tuotteissa (Googlen autentikaattori tietenkin poislukien...) varmuuskopiointi pilveen oli arkipäivää niin MS Authenticatorissa varmuuskopiointimahdollisuutta ei tietenkään ollut. Pikkuputiikeilla ei tuolloin ollut aikaa koodailla turhanpäiväisyyksiä tuotteisiinsa.

 

[Kautium]

MS Authenticatorista löytyy nykyään asetuksista varmuuskopiointimahdollisuus (Asetukset - Varmuuskopio - Pilvipalveluvarmuuskopio). Joskus vuonna miekka ja kilpi kun ainakin tietyissa kilpailevissa tuotteissa (Googlen autentikaattori tietenkin poislukien...) varmuuskopiointi pilveen oli arkipäivää niin MS Authenticatorissa varmuuskopiointimahdollisuutta ei tietenkään ollut. Pikkuputiikeilla ei tuolloin ollut aikaa koodailla turhanpäiväisyyksiä tuotteisiinsa.

Tuo MS Authenticatorin pilvivarmistuskuvio voi tuottaa siinä mielessä hankalan muna-kana-ongelman, että ainakin minulla on se Microsoft-tili sen saman Authenticatorin itsensä takana. En ole koskaan tuota kokeillut, mutta olisi aika huolestuttavaa, jos varmistuksen palautus onnistuisi uuteen laitteeseen ilman vahvaa tunnistusta. Eli jos Authenticatorin sisältävä laite hajoaa, niin eipä taida ihan helpolla päästä sitä backuppia hyödyntämään, kun ei pääse kirjautumaan sinne tilille, jossa se backup on.

MFA on tärkeä osa nykypäivän verkkopalveluiden turvallisuutta, mutta samalla se aiheuttaa melkoisesti ylimääräistä päänvaivaa mm. juuri näiden varmennuksessa käytettävien laitteiden kadotessa/rikkoutuessa.

 

[escalibur]

MS Authenticatorista löytyy nykyään asetuksista varmuuskopiointimahdollisuus (Asetukset - Varmuuskopio - Pilvipalveluvarmuuskopio). Joskus vuonna miekka ja kilpi kun ainakin tietyissa kilpailevissa tuotteissa (Googlen autentikaattori tietenkin poislukien...) varmuuskopiointi pilveen oli arkipäivää niin MS Authenticatorissa varmuuskopiointimahdollisuutta ei tietenkään ollut. Pikkuputiikeilla ei tuolloin ollut aikaa koodailla turhanpäiväisyyksiä tuotteisiinsa.

Vaihtoehtoisesti voi käyttää ilmaista Authyä vähintään kahdessa eri laitteessa ja riski menettää MFA:n pienenee merkittävästi.

 

[user9999]

Niin Authy synkkaa koodit laitteiden välillä niin ei haittaa vaikka menettää yhden laitteen. Applella on sisäänrakennettuna käyttikseen vastaava. Tuo tuli vuosi sitten iOS 15, iPadOS 15 ja macOS Monterey käyttöjärjestelmiin.

 

[Kaalip]

Leikepöydän käyttö on valitettavan yleistä, ja tietoturvan kannalta se on iso riski, sillä mikä tahansa ohjelma voi ilman käyttäjän suostumusta lukea tuota leikepöytää tai tallentaa sen historiaa, täysin käyttäjän tietämättä. Tuota aukkoa on siis varsin helppo hyväksikäyttää, etenkin suljetun koodin ohjelmissa. Vuodot voivat jäädä täysin huomaamatta.

Applen laitteilla ei enää onneksi iOS 16 jälkeen ole mahdollista.

iOS 16 asks user permission to copy and paste between apps - 9to5Mac

Back in 2020, iOS 14 introduced a new banner to alert users when an app is pasting from the clipboard....

9to5mac.com

 

[Hans Niskatuki]

Vaihtoehtoisesti voi käyttää ilmaista Authyä vähintään kahdessa eri laitteessa ja riski menettää MFA:n pienenee merkittävästi.

Seitsemässä laitteessa on itselläni tällä hetkellä.

 

[Hans Niskatuki]

Niin Authy synkkaa koodit laitteiden välillä niin ei haittaa vaikka menettää yhden laitteen. Applella on sisäänrakennettuna käyttikseen vastaava. Tuo tuli vuosi sitten iOS 15, iPadOS 15 ja macOS Monterey käyttöjärjestelmiin.

Ja Authyn asetuksista (Settings - Devices) kannattaa ottaa Allow multi-device pois päältä (Android) sen jälkeen kun on lisännyt omat laitteet.

Vastaavasti desktop-ympäristön sovelluksessa pitää kohdassa Settings - Devices näkyä Multi-device (Enable), jossa siis tuo Enable on nappula josta enabloidaan Multi-device. Eli kun siinä näkyy Enable niin Multi-device on disabled.

Ainoa tilanne jossa Allow multi-device kannattaa pitää päällä on se jos käytössäsi on vain yksi laite. Mikäli nyt Allow multi-device olisi pois päältä ja tämä yksi luuri esim. katoaisi niin uuden puhelimen kanssa tulee probleema koska uutta laitetta ei siinä tilanteessa voi kätevästi liittää Authyyn. Tai jotain ja jotain.

404 error

authy.com

 

[Obi-Lan]

MS Authenticatorin voi käsittääkseni aktivoida kahteen mobiililaitteeseen yhtäaikaa. Sitten sille vaihtoehtoina toimii SMS, Recovery Code, Win10/11 kone mihin kirjaudutaan MS Tilillä ja missä on tarvittavat turvapiirit Hello kirjautumiselle tai joku Yubi avaimistakin kävi.

 

[user9999]

Seitsemässä laitteessa on itselläni tällä hetkellä.

Itsellä neljässä laitteessa Authy. Pari maccia, iPhone ja iPad. Ajan noissa maceissä (apple silicon) myös mobiiliversio Authya, koska saa sormenjäljellä avattua ja Mac desktop Authy versio on intel roska ja vaatii Rosetta kikkareen. Ei ole enää Rosettaa mun maceissä.

Spoileri: Macin Authy kirjautuminen

Pääasiassa käytän Applen omaa ja Authy on vielä varalla.

 

[qazserNOS]

Minä olen säilyttänyt kuvakaappaukset 2FA QR-koodeista vahvasti salatuissa paketeissa pilvipalvelussa. Hiljattain otin käyttöön myös avoimen lähdekoodin Aegis:in Google Authenticatorin tilalle, sillä siitä saa kätevästi kaikki koodit kerralla varmuuskopioitua salattuna.

 

[Kautium]

Huh, olipas homma, kun kävin vihdoinkin läpi Bitwardenissa kaikki vuosien varrella kertyneet tunnukset, vaihdoin perhetilaukseen ja lisäsin sinne omaan organisaatioon/collectioneihin perheenjäsenet ja opastin kaikille miten systeemi toimii. Siivosin samalla kaikki ylimääräiset tunnukset ja muokkasin jäljelle jääneiden nimiä ja matching-sääntöjä vähän järkevämmiksi. Noin 300 tunnus/salasanaparia jäi jäljelle, kun lähtötilanne oli noin 400.

Saakohan tuossa perhetilauksessa mitenkään rajoitettua asetuksia niin, että käyttöliittymässä olisi edelleen manuaalisesti valittavissa myös organisaation eri collectioneissa olevat tunnukset, mutta että niitä ei sieltä oletuksena kuitenkaan ehdoteltaisi eri palveluissa? Oletuksena se tarjoaa nyt minulle koko roskan ownerina myös kaikkia lasten tunnuksia kirjauduttaessa, eikä se olisi välttämättä tarpeen.

 

[escalibur]

Saakohan tuossa perhetilauksessa mitenkään rajoitettua asetuksia niin, että käyttöliittymässä olisi edelleen manuaalisesti valittavissa myös organisaation eri collectioneissa olevat tunnukset, mutta että niitä ei sieltä oletuksena kuitenkaan ehdoteltaisi eri palveluissa? Oletuksena se tarjoaa nyt minulle koko roskan ownerina myös kaikkia lasten tunnuksia kirjauduttaessa, eikä se olisi välttämättä tarpeen.

Luot itsellesi ei-admin tunnuksen ja käytät sitä päivittäisessä käytössä. Admin sitten lähinnä säätöihin ja muuhun. Olettaen siis että sulla on vapaita lisenssislotteja jäljellä. Jos ei ole, kannattaa kysästä katsoisiko heidän support asiaa sormien läpi ja sallisi sulle +1 slotin.

 

[Kautium]

Luot itsellesi ei-admin tunnuksen ja käytät sitä päivittäisessä käytössä. Admin sitten lähinnä säätöihin ja muuhun. Olettaen siis että sulla on vapaita lisenssislotteja jäljellä. Jos ei ole, kannattaa kysästä katsoisiko heidän support asiaa sormien läpi ja sallisi sulle +1 slotin.

Tuo on toki vaihtoehto, mutta ei toisaalta viitsi tehdä päivittäistä käyttöäkään tarpeettoman monimutkaiseksi. Haen siis vähän samaa mallia kuin miten Bitwarden toimii mm. silloin kun joku tunnus siirtyy roskakoriin. Se tunnus löytyy sieltä edelleen 30 päivää, mutta sitä ei tarjota kirjautumisiin. Ei taida onnistua nykyisellään ilman juuri tuollaista erillisen tunnuksen kanssa kikkailemista. Pitää varmaan laittaa siitä kehitysehdotusta edelleen.

Lisäksi olisi kiva, jos käyttöliittymä tarjoaisi helpomman tavan lisätä tunnistuksia eri alustojen sovelluksille. Nyt mm. Android-sovellusten kanssa pitää ensin kaivella ohjeista että mitä siihen alkuun pitikään laittaa (Androidapp://) ja sitten erikseen perään Storesta sovelluksen id.

 

[pulatunnus]

LastPassissa jälleen vuoto. Ilmeisesti käyttäjien dataan on päästy käsiksi aiemmasta vuodosta saatuja tietoja tai lähdekoodia hyväksikäyttäen:
https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/

Epänormaalia liikennettä kolmannen osapuolen pilvitallennustilassa havaittau

Olemme todenneet, että valtuuttamaton osapuoli on elokuun 2022 tapauksesta saatujen tietojen perusteella päässyt käsiksi tiettyihin asiakkaidemme tietojen osiin. Asiakkaidemme salasanat pysyvät turvallisesti salattuina LastPassin Zero Knowledge -arkkitehtuurin ansiosta.

Ilmoitimme sinulle 25. elokuuta 2022 tietoturvahäiriöstä, joka rajoittui LastPass-kehitysympäristöön ja jossa osa lähdekoodistamme ja teknisistä tiedoistamme otettiin. Halusin kertoa sinulle tutkimuksemme lopputuloksesta, jotta voimme tarjota avoimuutta ja mielenrauhaa kuluttaja- ja yritysyhteisöillemme.
Olemme saaneet tutkinnan ja rikosteknisen prosessin päätökseen yhteistyössä Mandiantin kanssa. Tutkimuksemme paljasti, että uhkatekijän toiminta rajoittui neljään päivään elokuussa 2022. Tänä aikana LastPass-turvatiimi havaitsi uhkatekijän toiminnan ja rajoitti tapauksen.
Ei ole näyttöä mistään uhkatekijöiden toiminnasta vahvistetun aikajanan jälkeen. Voimme myös vahvistaa, että ei ole näyttöä siitä, että tähän tapaukseen liittyisi pääsyä asiakastietoihin tai salattuihin salasanavarastoihin.
Tutkimuksemme havaitsi, että uhkatekijä pääsi kehitysympäristöön kehittäjän vaarantuneen päätepisteen avulla. Vaikka alkuperäisessä päätepisteen kompromississa käytetty menetelmä ei ole vakuuttava,
uhkatekijä käytti jatkuvaa pääsyään esiintyäkseen kehittäjänä, kun kehittäjä oli onnistunut todentamaan monitekijätodennusta käyttämällä.

Vaikka uhkatoimija pääsi kehitysympäristöön,
järjestelmäsuunnittelumme ja hallintamme estivät uhkatoimijaa pääsemästä asiakastietoihin tai salattuihin salasanavarastoihin.

 

[ravallo]

Epänormaalia liikennettä kolmannen osapuolen pilvitallennustilassa havaittau

Joopa joo. Saa nähdä pysyykö firma pinnalla. Ainakin siellä on ollut jotain yritystä, rahamies-CEO vaihdettiin securityinssi-CEO:hon ja poltetaan huolella paalua ulkopuolisiin turvafirmoihin.

Itse ainakin äänestin jo jaloillani, ja ihmettelen jos muut asiakkaat eivät tee samoin.

 

[ztec]

Laitetaan tähänkin lankaan linkkivinkki, kun liittyy hyvin läheisesti autentikointtii ja salasanoihin. Päästään vihdoinkin kaikkien rakastamista ja vihaamista salasanoista eroon.

Chromeen tuli juuri passkeys autentikointi, palveluihin voi jatkossa rekisteröityä ja kirjautua vaan klikkaamalla, että jees kirjaudu, tai vaikka sormenjäljellä tai PIN koodilla, kasvoilla tms.

Introducing passkeys in Chrome

We announced in October that passkey support was available in Chrome Canary. Today, we are pleased to announce that passkey support is now ...

blog.chromium.org

Tästä aiheesta onkin jo pyörinyt kolmisen vuotta lanka, mutta nyt se tulee jälleen entistä ajankohtaisemmaksi:

FIDO2, WebAuthn, Passwordless ja Passkeys

Tetasin tässä päivänä eräänä uusia FIDO2 tokeneita, sekä SoloKeyssiltä, että eWBM:ltä ja nuo parantavat kyllä käyttäjätunnusten hallintaa ja tietoturvaa merkittävästi. Kirjautuminen palveluihin helpottuu olennaisesti ja tietoturva paranee. Jos suinkin mahdollista unohdan vanhentuneet tekniikat...

bbs.io-tech.fi

Over and out tässä langassa. Kunhan esittelin hieman modernimman ja huomatavasti turvallisemman vaihtoehdon salasanoille.

 

[Kautium]

Laitetaan tähänkin lankaan linkkivinkki, kun liittyy hyvin läheisesti autentikointtii ja salasanoihin. Päästään vihdoinkin kaikkien rakastamista ja vihaamista salasanoista eroon.

Chromeen tuli juuri passkeys autentikointi, palveluihin voi jatkossa rekisteröityä ja kirjautua vaan klikkaamalla, että jees kirjaudu, tai vaikka sormenjäljellä tai PIN koodilla, kasvoilla tms.

Introducing passkeys in Chrome

We announced in October that passkey support was available in Chrome Canary. Today, we are pleased to announce that passkey support is now ...

blog.chromium.org

Tästä aiheesta onkin jo pyörinyt kolmisen vuotta lanka, mutta nyt se tulee jälleen entistä ajankohtaisemmaksi:

FIDO2, WebAuthn, Passwordless ja Passkeys

Tetasin tässä päivänä eräänä uusia FIDO2 tokeneita, sekä SoloKeyssiltä, että eWBM:ltä ja nuo parantavat kyllä käyttäjätunnusten hallintaa ja tietoturvaa merkittävästi. Kirjautuminen palveluihin helpottuu olennaisesti ja tietoturva paranee. Jos suinkin mahdollista unohdan vanhentuneet tekniikat...

bbs.io-tech.fi

Over and out tässä langassa. Kunhan esittelin hieman modernimman ja huomatavasti turvallisemman vaihtoehdon salasanoille.

"Päästään eroon salasanoista" on aika leveällä pensselillä maalattu kuva, kun ei ominaisuus toimi kuin yhdessä selaimessa ja jokaisen sovelluksen/palvelun pitää lisäksi erikseen tukea sitä.

Salasanaton maailma on tuon myötä kuitenkin askeleen lähempänä, mutta ei sekään ongelmaton ole.

Itse käyttelen salasanatonta kirjautumista jo nyt mm. Microsoftin ja Googlen palveluihin kirjauduttaessa. Muuten kätevää, mutta kyllähän siinä menee sormi suuhun, jos se autentikoinnissa käytetty laite hajoaa tai varastetaan. Backuppiakaan ei kaikista sovelluksista saa otettua.

 

[Paapaa]

Muuten kätevää, mutta kyllähän siinä menee sormi suuhun, jos se autentikoinnissa käytetty laite hajoaa tai varastetaan. Backuppiakaan ei kaikista sovelluksista saa otettua.

Tollasta tilannetta ei koskaan saisi syntyä, että ollaan yhden laitteen varassa jonkun kirjautumisen suhteen. Eli aina pitää olla B-suunnitelma. Onneksi 2FA:n tapauksessa sivustot lähes aina "pakottavat" ottamaan recovery codet talteen. Tiedä sitten ottavatko kaikki...

 

[Kautium]

Tollasta tilannetta ei koskaan saisi syntyä, että ollaan yhden laitteen varassa jonkun kirjautumisen suhteen. Eli aina pitää olla B-suunnitelma. Onneksi 2FA:n tapauksessa sivustot lähes aina "pakottavat" ottamaan recovery codet talteen. Tiedä sitten ottavatko kaikki...

Ei saisi joo, mutta arvaapas vaan kuinka montaa tavan käyttäjää kiinnostaa alkaa virittämään jotain autentikaattoria moneen laitteeseen. Monilla ei edes ole kuin se yksi laite.

Näissä on perustavaa laatua olevana ongelmana juuri se, ettei tavan käyttäjille anneta yksiselitteistä mallia millä ja miten turvata pääsy palveluihin laitteen kadotessa. Mm. MS Authenticatorin voi laittaa backuppaamaan tiedot pilveen, mutta jos se pääsy sinne on saman laitteen varassa, niin se siitä sitten. Ja jos lisää sovelluksen toiseen laitteeseen, tiedot eivät synkkaa näiden välillä. Tämä on jotenkin niin lapsenkengissä vielä, että tällä menolla menee vuosikausia ennen kuin suuret massat voivat käyttää näitä turvallisempia kirjautumistapoja.

 

[escalibur]

Tollasta tilannetta ei koskaan saisi syntyä, että ollaan yhden laitteen varassa jonkun kirjautumisen suhteen. Eli aina pitää olla B-suunnitelma. Onneksi 2FA:n tapauksessa sivustot lähes aina "pakottavat" ottamaan recovery codet talteen. Tiedä sitten ottavatko kaikki...

Jos nyt ensiksi päästäisiin saman salasanan käyttämisestä joka paikassa, saatika että rivikäyttäjä miettisi ”jotain numerokoodeja”.

 

[ztec]

"Päästään eroon salasanoista" on aika leveällä pensselillä maalattu kuva, kun ei ominaisuus toimi kuin yhdessä selaimessa ja jokaisen sovelluksen/palvelun pitää lisäksi erikseen tukea sitä.

Myös salasala managerit voivat tukea sitä, ja eiköhän sekin ole tulossa kovaa. Osa on jo implementoinut ominaisuudet. Ihan kuten TOTP tukikin on laitettu moneen manageriin. Siinä mielessä liittyy hyvinkin tähän lankaan. Mutta toivotaan tämän suhteen edistymistä. Salasanojen suhteen on muutenkin niin paljon harhaan johtavaa ja väärää tietoa liikenteessä jos vaan käyttäisi salasanoja kunnolla. Mutta nää on käyty tässä langassa jo moneen kertaan läpi.

Tarkastin jälleen Googlen, mielelläni käyttäisin passwordlessia sen kanssa, mutta eipä sitä näytä siellä valikossa olevan kirjautumisoptioissa.

 

[Kautium]

Tarkastin jälleen Googlen, mielelläni käyttäisin passwordlessia sen kanssa, mutta eipä sitä näytä siellä valikossa olevan kirjautumisoptioissa.

En muista mitä kautta sen sai päälle, mutta nykyään jos kirjaudun esim. Gmailiin, tulee pelkästään luuriin pyyntö hyväksyä kirjautuminen ja siinä kaikki. Eli kyllä se siellä on, mutta kuten sanoin, tämä paletti jokaisella toimijalla enemmän tai vähemmän rikki/sekaisin.

Tunnuksen kirjoittamisen jälkeen tulee näytölle tällainen ja luurissa piippaa kysymys "are you signing in? yes/no". Salasanaa ei tarvita missään välissä.

 

[ztec]

En muista mitä kautta sen sai päälle, mutta nykyään jos kirjaudun esim. Gmailiin, tulee pelkästään luuriin pyyntö hyväksyä kirjautuminen ja siinä kaikki. Eli kyllä se siellä on, mutta kuten sanoin, tämä paletti jokaisella toimijalla enemmän tai vähemmän rikki/sekaisin.

Jes, mutta tuo ei ole Passwordless(tm) vaan Googlen oma palvelu (Google prompts), jossa varmistetaan sisäänkirjatunella laitteella pääsy.

 

[Kautium]

Jes, mutta tuo ei ole Passwordless(tm) vaan Googlen oma palvelu (Google prompts), jossa varmistetaan sisäänkirjatunella laitteella pääsy.

Se on semantiikkaa. Salasanaton kirjautuminen on "passwordless" ilman sitä trademark-merkkiä perässä.

 

[ojisama]

Se on semantiikkaa. Salasanaton kirjautuminen on "passwordless" ilman sitä trademark-merkkiä perässä.

Ei sentään, jos tuossa ensimmäinen kirjautuminen (jollakin laitteella) vaatii salasanan. Ehkä ei vaadi, vaan vain kuvittelen.

 

[Kautium]

Ei sentään, jos tuossa ensimmäinen kirjautuminen (jollakin laitteella) vaatii salasanan. Ehkä ei vaadi, vaan vain kuvittelen.

Näin se tarkemmin ajateltuna taitaa mennä. Siitä on niin pitkä aika kun tuon otin käyttöön, niin en enää muista itsekään että miten se meni.

One step closer to a passwordless future

Over the next year all major device platforms have committed to building in support for passwordless FIDO Sign-in standards.

blog.google

Apple, Google, and Microsoft will soon implement passwordless sign-in on all major platforms

Soon, you could log in to everything with just your phone.

www.theverge.com

Though many popular applications already included support for FIDO authentication, initial sign-on has required the use of a password before FIDO can be configured — meaning that users were still vulnerable to phishing attacks that see passwords intercepted or stolen along the way.

But the new procedures will do away with the initial requirement for a password, as Sampath Srinivas, product management director for secure authentication at Google and president of the FIDO Alliance, said in an email statement sent to The Verge.

 

[Paapaa]

LastPassin uusien tietojen mukaan asiakkaiden yhteystietoihin on päästy käsiksi. Tämän lisäksi nettiosoitteet eivät ole tietokannassa ollenkaan salattuja, joka on melko suuri turvallisuusriski. Henkilöllisyys on suoraan yhdistettävissä kaikkiin käytössä oleviin sivustoihin.

Ja siis kryptattuja vaulteja on vuodettu. Niiden lukumäärää ei ole kai kerrottu. Eli hyökkääjällä on täydelliset eväät murtaa niitä brute-forcella lokaalisti. Aivan varmasti siellä on lukuisia vaulteja joissa ei ole kovin vahva salasana. Ei näin, LastPass.

 

[pulatunnus]

Ja siis kryptattuja vaulteja on vuodettu. Niiden lukumäärää ei ole kai kerrottu. Eli hyökkääjällä on täydelliset eväät murtaa niitä brute-forcella lokaalisti. Aivan varmasti siellä on lukuisia vaulteja joissa ei ole kovin vahva salasana. Ei näin, LastPass.

Onko salaus sellainen että käyttäjän salasanalla aukeaa ?
Jos on, niin hyökkääjällä todennäköisesti jonkin käyttäjäjoukon salasanat.

Spoileri: pidemmin

LastPass on suosittu , markkinoitu palvelu joka on ollut hellppo ottaa käyttöön, vaikea salasanam vaikeasti muistettava salasana vaikeuttaisi käyttöä, joten yllättyn jos monella on salasana jota käyttänyt monessa muussakin palvelussa, ja koska monesta palveluista salasanat vuotaan käyttäjätunnuksineen, jos nyt pahikkisilla, tiedossa salasana taltion käyttäjä / käyttäjätunnus / email, ja nettiin vuodetut muut salasana/käyttäjätunnus/email parit.....
Ymmärtääkseni LastPass on vuosien saatossa tiukentanut salasana vaatimusta. jos on, niin se voi pelastaa
Jäljellä toki ollut kalastelu, jos tiedetään kohde

 

[Obi-Lan]

Kannattaa ehkä tässä kohtaa vaihtaa kaikki Lastpassiin tallennettujen palveluiden salasanat uusiin, oletettavasti vielä on aikaa, jos Lastpassin salasana ei ollut ihan Kissa123 luokkaa. Mutta alkaa yleinen salasanasirkus käydä vuosi vuodelta raskaammaksi.

 

[Paapaa]

Onko salaus sellainen että käyttäjän salasanalla aukeaa ?

Kyllä. Se "vault" (kanta? holvi?) puretaan ja salataan aina loppukäyttäjän koneella. LastPassilla on vain kryptattu data.

Jos on, niin hyökkääjällä todennäköisesti jonkin käyttäjäjoukon salasanat.

Vaikea sanoa. On siellä varmasti heikkojakin salasanoja ollut käytössä. Joten vaikkei niitä vielä olisi, niin brute forcella kohta on.

 

[pulatunnus]

Kyllä. Se "vault" (kanta? holvi?) puretaan ja salataan aina loppukäyttäjän koneella. LastPassilla on vain kryptattu data.

Ok, eli ajattelin että jos voimalla yrittää niin pelkällä salasanalla menee ? tai jos ei mene, niin pahiksilla tiedossa loput ? millä helpottaa. Aiemmin toki uutisoitu että muutakin vuotanut.

Vaikea sanoa. On siellä varmasti heikkojakin salasanoja ollut käytössä. Joten vaikkei niitä vielä olisi, niin brute forcella kohta on.

Jos on tiedossa että on käyttäjiä joilla salasana palveluun on ollut heille helppo ja tuttu muutenkin, niin yllättyisin jos ei olisi käyttäjiä joiden salasanat / käyttäjä / maili parit löytyy vanhoista vuodoista. Paitso jos LastPass on jotekin parsinut moiset ja pakottanut käyttäjät vaihtamaan salasanaa.

 

[escalibur]

Vaikka vaultteja ei saataisiinkaan purettua, on tämä LastPassin enemmän tai vähemmän otsikkoissa pysyminen melkoista iskua koko palvelun uskottavuudelle. Saa nähdä vaihtuuko palvelun nimi ja tai omistajuuskin nyt kun maine on pahasti pilalla.

"The original August 2022 breach was in a test environment that lead to this latest breach due to uncycled decryption keys."

 

[Naamapalmu]

Ihmettelen kyllä suuresti miksi kukaan enää käyttäisi tuota useasti korkattua palvelua? Olen käyttänyt KeePassia kohta 15 vuotta lokaalisti ja tietokannasta back uppia 2FA onedrivessä, vaikka onedrive korkattaisiin, niin tiedosto on omassa kryptatussa vaultissa salatussa zippi-tiedostossa, joka on suojattu omalla key -tiedostolla, mikä voi olla mikä tahansa internetissä sijaitseva tiedosto, eli pelkällä KeePassin tietokannalla ei tee yhtään mitään.

 

[pulatunnus]

Ihmettelen kyllä suuresti miksi kukaan enää käyttäisi tuota useasti korkattua palvelua?

On ollut helppo käyttäänottaa, edullinen, vaihtaminen on aina työlästä, toki palvelu on vaihtoa vauhdittanut palvelu/hinnoittelu muutoksilla, ja aina on vakuuteltu että holvi on turvassa.

Sen minkä nettiin tallentaa, sen minkä netin yli siirtää, niin kannattaa suhtautua että se ei pysy ikuisesti salaisuutena.

Massa murrotoja vastaan voi suoajutua sillä että käyttäytyy itse vähän paremmin kuin muut, ei talanne holviin selkokielisenä tärkeimpiä salaisuuksia, tarkoitan että ihan copy/paste ei riitä, vaan tarvii jotain muuta. Muistaen sen että oma muistivoi nollaantua ja sen että jos tulee pikalähtö, niin jollain on riittävät mahdollisuudet , mutta ei liikaa. (*

Suoraan henkilöön kohdistetuissa hyökkäyksissä pikku temput ei välttämättä riitä

Spoileri: (*

(*
Tarkoitan sitä että joillain, joillain on pääsy niihin kohteisiin joilla on merkitystä siinä tilanteessa. Mutta samalla salaisuudet säilyy. Ei ole ihan helppo yhdistelmä, kerta juttuna, saati että sitä pitää ajantasalla.

 

[Taneli-]

Itse olen käyttänyt tuota Dashlanea kun sen joskus Hublesta sai vuodeksi ja sen jälkeen käyttänyt maksutonta versiota (riittää oikein hyvin yhteen koneeseen, maksullisella voisi käyttää useamman koneen sekä kännykän välityksellä vaikka koko perhe noin ja teoriassa)

En silti ole läheskään kaikkia tunnuksia ja salasanoja laittanut tuonne (esim. rahojen siirtoon liittyviä kuten verkkopankkia tai Paypallia) ja erillinen lista tunnuksista sekä salasanoista löytyy paikallisena muutamasta paikasta turvasta.

En nyt tiedä onko jossain (varmaan on) uudempia testejä mutta aikoinaan katselin tätä: Kuluttaja testasi salasanojen suojaajat: Suomalainen vaihtoehto sai kylmää kyytiä – ilmaisetkin olivat parempia

Missä todetaan että esim. Suomalainen F-Secure jäi viimeiseksi 12 eri salasanaohjelman vertailussa missä parhaat olivat Lastpass ja Dashlane.

Eli aika moni varmaan tekee kuten itsekin aikoinaan ja lukee (jos nyt edes lukee) arvosteluja ja sitten kun tilaisuus nyt tuli (itselle se Huble Bundle setti missä tuo tuli halpaan hintaan vuodeksi) hyppää mukaan kelkkaan. Toivottavasti kuitenkin lukee myös joskus edes jotain tietotekniikan sivustoja ja saa tietoonsa jos ikäviä asioita (TM) tapahtuu, kuten nyt tämä murto ja tajuaa siirtyä eri palvelua käyttämään. Vaikka aikoinaan kyseinen palvelu olisi saanut ties miten paljon suitsutusta ja ylistystä osakseen (hieman sama kuin surullisen kuului Microsoftin Internet Explorer mitä "kaikki käyttivät" tai tietoturvasta Defender mikä on alkanut saada hälyttävän huonoja arvosanoja eli menee samaan luokkaan nyt kuin tuo Lastpass ellei ala petraamaan. (Kyllä, olen aikoinani itsekin käyttänyt Exploreria sekä Defenderiä ja olivat hyviä silloin. Pakko sanoa ennenkuin jotkut alkavat ehkä muistojen kultaamina kehua noita.)

EDIT: lisäksi näköjään moni teoriassa luotettava ja paljon luettu Suomalainenkin sivusto kuten esim. kotimikro suosittelee Lastpass ohjelmistoa ihan tämän vuoden aikanakin vielä.. ..eli tieto ei kovin nopeasti kulje. Tässä vielä saman paikan 21.11. tekemä artikkeli erityisesti kehuen ja kehoittaen LastPass ohjelmaa käyttämään.

 

[escalibur]

Itse olen käyttänyt tuota Dashlanea kun sen joskus Hublesta sai vuodeksi ja sen jälkeen käyttänyt maksutonta versiota (riittää oikein hyvin yhteen koneeseen, maksullisella voisi käyttää useamman koneen sekä kännykän välityksellä vaikka koko perhe noin ja teoriassa)

En silti ole läheskään kaikkia tunnuksia ja salasanoja laittanut tuonne (esim. rahojen siirtoon liittyviä kuten verkkopankkia tai Paypallia) ja erillinen lista tunnuksista sekä salasanoista löytyy paikallisena muutamasta paikasta turvasta.

En nyt tiedä onko jossain (varmaan on) uudempia testejä mutta aikoinaan katselin tätä: Kuluttaja testasi salasanojen suojaajat: Suomalainen vaihtoehto sai kylmää kyytiä – ilmaisetkin olivat parempia

Missä todetaan että esim. Suomalainen F-Secure jäi viimeiseksi 12 eri salasanaohjelman vertailussa missä parhaat olivat Lastpass ja Dashlane.

Eli aika moni varmaan tekee kuten itsekin aikoinaan ja lukee (jos nyt edes lukee) arvosteluja ja sitten kun tilaisuus nyt tuli (itselle se Huble Bundle setti missä tuo tuli halpaan hintaan vuodeksi) hyppää mukaan kelkkaan. Toivottavasti kuitenkin lukee myös joskus edes jotain tietotekniikan sivustoja ja saa tietoonsa jos ikäviä asioita (TM) tapahtuu, kuten nyt tämä murto ja tajuaa siirtyä eri palvelua käyttämään. Vaikka aikoinaan kyseinen palvelu olisi saanut ties miten paljon suitsutusta ja ylistystä osakseen (hieman sama kuin surullisen kuului Microsoftin Internet Explorer mitä "kaikki käyttivät" tai tietoturvasta Defender mikä on alkanut saada hälyttävän huonoja arvosanoja eli menee samaan luokkaan nyt kuin tuo Lastpass ellei ala petraamaan. (Kyllä, olen aikoinani itsekin käyttänyt Exploreria sekä Defenderiä ja olivat hyviä silloin. Pakko sanoa ennenkuin jotkut alkavat ehkä muistojen kultaamina kehua noita.)

EDIT: lisäksi näköjään moni teoriassa luotettava ja paljon luettu Suomalainenkin sivusto kuten esim. kotimikro suosittelee Lastpass ohjelmistoa ihan tämän vuoden aikanakin vielä.. ..eli tieto ei kovin nopeasti kulje. Tässä vielä saman paikan 21.11. tekemä artikkeli erityisesti kehuen ja kehoittaen LastPass ohjelmaa käyttämään.

Noihin Top-listoihin suhtautuisin samalla tavalla kuin lööppilehtien juttuihinkin.

Spoileri: Offtopic

Suositellaan siis seuraavaa tuotetta ykkösvaihtoehtona:

Kyse on entisen Symantecin -> NortonLifeLock -> nykyisin "Gen Digitalin" copy-paste virustorjunnasta (Norton/Avast/AVG/Bulldog/Avira).

Salasanojen hallintaohjelmistojen vertailussa ilmeisesti palvelun, tai tuotteen tietoturva-auditointia ei mainita sanallakaan? Mielestäni sen pitäisi olla yksi tärkeimmistä valintakirteereistä.

 

[Naamapalmu]

LastPass käyttäjien kannattaa nyt vaihtaa ohjelma ja salasanat ASAP, mikäli on redditin salapoliiseihin uskomista: r/Lastpass - Recommended actions for the LastPass security breach

Tämä taitaa sinetöidä koko palvelun tulevaisuuden, joten jo senkin puolesta vaihto lie aiheellista.

 

[Paapaa]

Kaikilla ei ole varaa auditonteihin, etenkin jos kyseessä on avoimen koodin salasanamanageri. Lisäksi auditointi on kuitenkin vain sen hetken snapshotille tehty. Jos pilkkua viilataan, niin tuotteessa voi jo kuukauden päästä olla avoin aukko jota auditointi ei kata lainkaan. Joten auditointi ei ole mikään maaginen automaattinen sija ykköspallilla, vaan pikemminkin pokaalikaapissa oleva mitali parin vuoden takaa.

Esim. LastPass on heidän mukaansa auditoitu säännöllisesti. Se on hyvä asia, mutta ei toki tae mistään. Olisi kiva tietää tarkemmin, miten tuon yhden devaajan kautta päästiin käsiksi sorsiin. Siitä kaikki lähti kuitenkin liikkeelle. Blogissa kerrottiin, että kyse oli suojaamattomasta endpointista. Mutta mistä tarkemmin oli kyse, joku admin API, josta unohtui suojaukset vai mikä tuo mahtoi olla.

Tässä on tärkeää huomioida myös se, että LastPassin master passwordiin käytettävä iterointi on tämän ohjeen mukaan 100 000, mutta moni käyttäjä on huomannut, että se onkin vain 5 000. Eli kryptattu vault on teoriassa paljon helpompi murtaa.

Olikohan tässä kyse siitä, kuinka vanha vault on. Eli vanhemmissa iteraatioita on käytetty vähemmän. Mutta noita ei voida automaattisesti muuttaa LP:n toimesta, vaan käyttäjän pitää se tehdä, sillä vaatii salauksen purun ja uuden salauksen. Tietty silti tuntuisi, että tuon olisi voinut pakottaa niin, että seuraavan kerran kun käyttäjä kirjautuu, vaultin iteraatio päivittyy.

 

[Paapaa]

LastPass käyttäjien kannattaa nyt vaihtaa ohjelma ja salasanat ASAP, mikäli on redditin salapoliiseihin uskomista: r/Lastpass - Recommended actions for the LastPass security breach

Ainakin LastPassin maine saa tästä todella syvän tahran ja varmaan päitä putoilee. Tällainen vuoto vaikuttaa asiakasmääriin varmasti. Ja mahdoton luottaa palveluun ellei läpinäkyvästi kerrota, mitä tapahtui. Ja tuon blogin tarkkuus ei omasta mielestäni riitä siihen.

 

[Naamapalmu]

Ainakin LastPassin maine saa tästä todella syvän tahran ja varmaan päitä putoilee. Tällainen vuoto vaikuttaa asiakasmääriin varmasti. Ja mahdoton luottaa palveluun ellei läpinäkyvästi kerrota, mitä tapahtui. Ja tuon blogin tarkkuus ei omasta mielestäni riitä siihen.

2fa myöten kaikki murrettu, en kyllä koskis enää pitkällä tikullakaan kyseiseen palveluun, saati uskoisi mitään mitä selittävät jatkossa.

 

[Paapaa]

Olikohan tästä jossain tarkemmin? En muista. Mutta mikä on huolestuttavinta, niin tuota murtokeinoa käyttämällä päästiin nyt käyttäjien tietoon käsiksi. Eli sitä varsinaista bugia tai rajapintaa tuon murron takana ei koskaan korjattu tai edes muutettu sellaiseksi ettei se ole suoraan hyödynnettävissä noilla murtotiedoilla.

LP:n blogin mukaan tuo kehitysympäristö ajettiin alas ja tehtiin uusi skrädestä (luultavasti paikaten tuo aukko). Mutta tuossa vaiheessa vahinko oli jo tapahtunut. Ja tuosta alasajosta kerrottiin vasta nyt. Olisi tosi kiva tietää tarkka tapahtumien aikajan. Mitä tehtiin missä vaiheessa. Ennen kaikkea, mitä tehtiin heti silloin kun ensimmäinen vuoto tuli ilmi. Mutta voi olla, ettei LP koskaan tätä julkista.

LP ei ole tietääkseni myöskään kertonut, kuinka suurta asiakasjoukkoa vuoto koskee. Keiden kaikkien vaultit on vuodettu. Ja onko asiakkaita, joiden vaultit eivät altistuneet? Veikkaan, etteivät tiedä ja potantiaalisesti ihan kaikki vaultit on saatettu vuotaa.

 

[Paapaa]

2fa myöten kaikki murrettu, en kyllä koskis enää pitkällä tikullakaan kyseiseen palveluun, saati uskoisi mitään mitä selittävät jatkossa.

Eipä se 2fa koske kuin sitä virallista kirjautumisväylää. Eli tavallaan 2fa:ta ei tarvinnut edes murtaa jos siellä oli suojaamaton endpoint johon kräkkeri pääsi käsiksi. Siellä ei 2fa:ta ollut lainkaan.

Mä en olisi koskenut ilman tätä tapausta, kun en pidä käyttöliittymästä. Eikä tuohon esim. yhä edelleen saa FIDO-2FA:ta.

 

[Infy]

LP:n käyttämä master passwordin PBKDF2-salausalgoritmin brute-force murtaminen on hyvin tehokkaasti toteutettavissa GPU- ja ASIC-laitteistolla. On olemassa uudempia ja parempia algoritmeja (esim. Argon2), jotka tekevät brute-force murtamisesta hitaampaa (murtaminen vaatii raa'an laskennan lisäksi myös muistia).

PBKDF2 - Wikipedia

en.wikipedia.org

 

[escalibur]

Kaikilla ei ole varaa auditonteihin, etenkin jos kyseessä on avoimen koodin salasanamanageri. Lisäksi auditointi on kuitenkin vain sen hetken snapshotille tehty. Jos pilkkua viilataan, niin tuotteessa voi jo kuukauden päästä olla avoin aukko jota auditointi ei kata lainkaan. Joten auditointi ei ole mikään maaginen automaattinen sija ykköspallilla, vaan pikemminkin pokaalikaapissa oleva mitali parin vuoden takaa.

Mielestäni varattomuus ei ole mikään uskottava perustelu näissä asioissa. Avoin lähdekoodi on jossain määrin ymmärrettävä, koska koodi on kaikkien nähtävillä muutenkin, vaikka se ei tietenkään ole mikään tae etteikö seasta vosi löytyä haavoittuvuuksia ja muita tuetoturvapoikkemia. Halutessaan voittoa tavoittelemattomat projektit voivat aina hankkia, tai kerätä rahoitusta koko asiaan.

Tietoturva-auditointia ei pidä sekoittaa mihinkään reaaliaikaiseen tietoturvavalvontaan. Auditointi antaa tieyn tason kuvauksen, kuinka asiat ovat auditoinnin aikana.

Auditointitodistus on verrattavissa vaikkapa koulutodistukseen. Sulla on vaihtoehtona kaksi silmäkirurgia: Yksi väittää olevansa kova lääkäri, mutta sillä ei ole minkälaista koulutodistusta, koska kysehän on ”sen hetken snapshotista ja ajat muuttuu, turhia moiset muutenkin jne” Toisella lääkärilläon tutkintotodistus viralliselta oppilaitokselta. Kumpaan vaihtoehtoon itsekin päättyisit? Niinpä. Olkoot heidän todelliset taidot mitä tahansa, ymmärrät mitä ajan takaa.

Jos vaihtoehtoina on todistus tai ilman, niin totta kai se todistus on tyhjää parempi, olkoot se kuinka monta vuotta vanha tahansa. Muussa tapauksessa asioihin suostutaan puhtaalla toivekkaalla uskomisella.

Auditointi ei tietenkään tarkoita että kyse on täydellisestä tietoturvasta tai jostain ”ykkössijasta”, vaan lähinnä yksi merkittävä pisteytysasia. Jokainen tietty määrätkööt omat valintakriteerinsa.

ps. LastPassin kierrättämättömät salausavaimet tuskin olisivat ikinä läpäisseet auditointitestiä, jos olisivat tehneet sellaisen. Voidaan vain arvailla miksi osa palveluista välttelee niitä.

 

[escalibur]

LastPass päätti käyttää AES-avaimiakin omalla tavalla.

- LastPass uses shit #encryption (or "encraption", as @sc00bz calls it). Padding oracle vulnerabilities, use of ECB mode (leaks information about password length and which passwords in the vault are similar/the same. recently switched to unauthenticated CBC, which isn't much better, plus old entries will still be encrypted with ECB mode), vault key uses AES256 but key is derived from only 128 bits of entropy, encryption key leaked through webui, silent KDF downgrade, KDF hash leaked in log files, they even roll their own version of AES - they essentially commit every "crypto 101" sin. All of these are trivial to identify (and fix!) by anyone with even basic familiarity with cryptography, and it's frankly appalling that an alleged security company whose product hinges on cryptography would have such glaring errors. The only thing that would be worse is if...

Jeremi M Gosney :verified: (@epixoip@infosec.exchange)

I recently wrote a post detailing the recent #LastPass breach from a #password cracker's perspective, and for the most part it was well-received and widely boosted. However, a good number of people questioned why I recommend ditching LastPass and expressed concern with me recommending people...

infosec.exchange

Heidän tietoturva-audioijalla voi olla jännät paikat. Jos sellaista on ikinä edes tehty.

 

[Obi-Lan]

Luulenpa, että Lastpassin ratkaisuissa ikä painoi. Firma kuitenkin perustettu jo 2008 ja LogMeIn osti 2015, jolloin kehitys varmaan loppui ja sedät alkoivat kääriä fyrkkaa.. Ei tule noilta ajoilta mieleen muita selvinneitä kuin Keepass.

Tietoturva-auditoinnille ei taidaa mitään golden standardia olla, perustuu lähinnä tekijöiden maineeseen ja kuinka uskottavasti joku ostaa kryptojargonia puhua?