LastPass foi hackedo (de novo) ,passwords, cartões de crédito e dados pessoais

joker_josue

legendary

Activity: 1722

Merit: 4711

**In BTC since 2013**

Quote from: nikolaspaolo on January 06, 2023, 05:36:34 AM

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.

Da ideia, acho que é excelente.

Mas vejo dois problemas nisso, e que tenham limitado o desenvolvimento da tecnologia:
1. Tem de ter sempre o equipamento, para aceder a sua conta. As vezes quer aceder ao email em casa de amigos, para ver algo urgente, e como não levou o equipamento não o consegue fazer.
2. Limita o acesso em vários dispositivos, visto que o equipamento pode não estar preparado para aceder via smartphone ou tablet.

TryNinja

legendary

Activity: 2758

Merit: 6830

Quote from: nikolaspaolo on January 06, 2023, 05:36:34 AM

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.

Importante: São suportados apenas dispositivos USB que funcionem com FIDO U2F ou FIDO2.

Seu dispositivo deve ser cadastrado no Registro.br. Após cadastrado, o dispositivo deverá estar conectado à porta USB de seu computador sempre que desejar se logar no site do Registro.br.

Nunca usei, mas acho a ideia muito interessante. É basicamente um 2FA físico, quase como uma hardware wallet, onde você precisa ter esse dispositivo conectado e precisa aprovar as ações direto no dispositivo.

Uma curiosidade é que você pode aproveitar a sua Ledger Nano S/X e usar ela como um dispositivo U2F! Tem um app oficial para isso: https://support.ledger.com/hc/en-us/articles/115005198545-FIDO-U2F?docs=true

Um vídeo mostrando o 2FA físico em uma conta da Google, com a Nano X: https://www.youtube.com/watch?v=KPmf9mbYKuo

nikolaspaolo

copper member

Activity: 393

Merit: 333

app.bitcoinp2p.com.br

E o que vocês acham desses tokens físicos?

Notei que no registro BR já pode usar um token físico.

Importante: São suportados apenas dispositivos USB que funcionem com FIDO U2F ou FIDO2.

Seu dispositivo deve ser cadastrado no Registro.br. Após cadastrado, o dispositivo deverá estar conectado à porta USB de seu computador sempre que desejar se logar no site do Registro.br.

bitmover

legendary

Activity: 2352

Merit: 6089

bitcoindata.science

Quote from: rdluffy on January 02, 2023, 05:41:37 PM

Quote from: lcharles123 on January 02, 2023, 05:28:59 PM

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

Esse gerenciador do Firefox você acessa como?
Por um e-mail ou só na máquina que você está usando?

Eu também uso o do Firefox

Precisa duma conta Firefox. Eu uso ela num email e uso uma senha forte e um 2fa pra acessar.

Nunca foram hackeados e são uma empresa comprometida com a privacidade. Recomendo.

rdluffy

legendary

Activity: 2366

Merit: 1408

Quote from: lcharles123 on January 02, 2023, 05:28:59 PM

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

Esse gerenciador do Firefox você acessa como?
Por um e-mail ou só na máquina que você está usando?

O que uso no Chrome para algumas coisas fica guardado pelo e-mail de cadastro do Gmail e posso até fazer login em outras máquinas que ele consegue puxar essas informações
O ponto de falha seria se alguém descobrir sua senha de e-mail e conseguir acessar essas senhas

lcharles123

legendary

Activity: 1697

Merit: 1074

Eu uso o gerenciador de senhas do Firefox, absolutamente todas as minhas senhas foram geradas aleatoriamente por este navegador. Ele gera sequencias de 15 caracteres entre letras maiusculas, minusculas e numeros. Imagino que quem use gerenciador de senhas deve sempre usar senhas aleatorias, afinal precisa de memorizar apenas uma senha. A senha mestra tambem deve ser aleatoria e forte. Seria interessante que estes gerenciadores obriguem o uso de uma senha mestra adequada, forçando o usuario a anota-la

bitmover

legendary

Activity: 2352

Merit: 6089

bitcoindata.science

Quote from: joker_josue on December 30, 2022, 10:23:56 AM

Quote from: Disruptivas on December 30, 2022, 08:15:19 AM

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

A vantagem de um serviço na nuvem é que permite ter sempre aos dados atualizados e usar em todos os seus dispositivos. Sem ter de andar a passar ficheiros de um lado para o outro.

E a desvantagem é a perda da privacidade e o aumento do risco de ser hackeado. Ao mesmo tempo, exsite um ganho de segurança pois voce não precisa cuidar dos back-ups.

O ideal mesmo, é usar 2FA nas senhas importantes e evitar deixar as principais senhas em qualquer gerenciador de senha (como o email principal, principal banco, etc)

TryNinja

legendary

Activity: 2758

Merit: 6830

Quote from: Disruptivas on December 30, 2022, 08:15:19 AM

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

Tecnicamente sempre pode haver um backdoor, principalmente por que eles podem sempre mudar o código do front-end para enviar a sua senha para os seus servidores (até alguém perceber, rsrs). A vantagem do sistema online é não ter que lidar com backup, sincronizar o cofre de senhas entre todos os dispositivos, não ter que lidar com apps mal-polidos, ...

Eu uso por que não tenho que me preocupar com nada disso e o app do bitwarden funciona bem. Na época que usava o Keepass, o app para iOS (que foi feito por um terceiro) era meio ruimzinho.

joker_josue

legendary

Activity: 1722

Merit: 4711

**In BTC since 2013**

Quote from: Disruptivas on December 30, 2022, 08:15:19 AM

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

A vantagem de um serviço na nuvem é que permite ter sempre aos dados atualizados e usar em todos os seus dispositivos. Sem ter de andar a passar ficheiros de um lado para o outro.

Disruptivas

legendary

Activity: 1428

Merit: 1568

Quote from: TryNinja on December 28, 2022, 02:31:17 PM

Como a Lastpass é um serviço de gerenciamento de senha online, eles tem todas as senhas de todos os clientes guardadas em seus servidores, porém, essas senhas estão ENCRIPTADAS com uma senha que só o cliente sabe. O cliente, então, pode descriptar o arquivo localmente no seu navegador, entendeu?

Aí o que aconteceu foi que um funcionário teve suas credenciais dos servidores da Lastpass vazadas e o hacker pegou esses arquivos encriptados. Como só o cliente sabe a senha para descriptar a sua parte dos arquivos, o hacker teria que fazer um bruteforce até encontrar a senha do arquivo de cada cliente, o descriptando e liberando o acesso às senhas.

Quote from: Disruptivas on December 28, 2022, 11:06:52 AM

Eu usava o Keepass, mas hoje uso o MacPass. Sabe se é pior ou algo de ruim do MacPass?

Parece que é um fork do Keepass só que no Mac. É o melhor caminho, já que você tem 100% do controle sobre o arquivo (não é guardado em um servidor de uma empresa mundo afora).

Obrigada pelo esclarecimento. Eu tinha entendido certo então. Mas nesse caso do Lastpass, enquanto infraestrutura ( eles terem as senhas guardadas encriptadas) poderia então facilmente tem um backdoor, né? Enquanto que o sistema do Keepass, onde o arquivo é guardado pelo usuários, isso não é possível, certo? Qual seria a vantagem de usar o sistema de Lastpass? É para o caso dos usuários perderem o arquivo? Por que tu usa um serviço online? Eu tenho medo de perder o arquivo, mas ai eu faço backup em pen-drive mensalmente pra atualizar as novas senhas.

bitmover

legendary

Activity: 2352

Merit: 6089

bitcoindata.science

Quote from: joker_josue on December 30, 2022, 02:48:36 AM

Apesar de nunca ter usado esse tipo de aplicativos, se é para entrar nesses níveis, tem de ser fácil utilização em qualquer dispositivo que se utilize.

Quote from: alegotardo on December 29, 2022, 07:48:54 PM

O é Bitwarden é open-source, e até onde pesquisei parece ser muito mais seguro que que o LastPass.
Ainda assim, utilizo o Bitwarden apenas para contas cotidianas, sem jamais incluir nele emails principais que uso com frequência, contas bancárias ou notas relacionadas às criptos.

A grande vantagem mesmo é para esses sites meio aleatórios que somos o rígidos a criar uma senha para acessar poucas vezes na vida. Daí não tme pq decorar esse tipo de senha.

Também é bom pra sites que usamos muito e podemos usar uma senha forte e acessar c facilidad.e

Assim se um dia uma senha vazar, por parte do site , nossas senhas mais importantes e decoradas estão seguras.

joker_josue

legendary

Activity: 1722

Merit: 4711

**In BTC since 2013**

Quote from: TryNinja on December 29, 2022, 08:36:11 PM

Existem extensões e outros app que suportam o tipo de arquivo do Keepass e assim permite uma integração com o navegador ou app de celular. Eu mudei para o Bitwarden (online) pois essa integração pc <> celular <> navegador é muito mais fácil e desburocrática.

Pois. Isso para mim é a mais valia.

Apesar de nunca ter usado esse tipo de aplicativos, se é para entrar nesses níveis, tem de ser fácil utilização em qualquer dispositivo que se utilize.

TryNinja

legendary

Activity: 2758

Merit: 6830

Quote from: joker_josue on December 29, 2022, 07:34:21 PM

Quote from: bitmover on December 29, 2022, 06:06:33 PM

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

Mas o Keepass interliga com os browsers? Ou tem na memoria do Firefox as senhas?

Existem extensões e outros app que suportam o tipo de arquivo do Keepass e assim permite uma integração com o navegador ou app de celular. Eu mudei para o Bitwarden (online) pois essa integração pc <> celular <> navegador é muito mais fácil e desburocrática.

Do próprio site do Keepass: https://keepass.info/plugins.html

alegotardo

legendary

Activity: 2352

Merit: 1121

☢️ alegotardo™️

Quote from: bitmover on December 26, 2022, 04:13:36 PM

O maior (é provavelmente o pior) gerenciador de senhas foi novamente hackeado (acho que é um ritual quase anual).

Dessa vez os hackers roubaram uma key de um empregado e estão com os dados e senhas de todos os usuários tentando fazer bruteforce.

Como o próprio nome diz.... "last pass", melhor que seja realmente a última vez que as pessoas usem uma senha por lá.

Eu felizmente estou duplamente protegido desse hack.
Primeiro porque sempre utilizei uma senha bastante forte para encriptar meu cofre, segundo porque excluí os dados e removi minha conta de lá já faz mais de um ano.

Espero que eles de fato tenham apagado meus dados, por acaso já tem alguma fonte de consulta a respeito das pessoas afetadas?

Atualmente eu utilizo o Bitwarden.... a última restrição do LastPass que me pediu para escolher se eu queria usar no PC ou Mobile foi a gota d'água para eu mudar.
O é Bitwarden é open-source, e até onde pesquisei parece ser muito mais seguro que que o LastPass.
Ainda assim, utilizo o Bitwarden apenas para contas cotidianas, sem jamais incluir nele emails principais que uso com frequência, contas bancárias ou notas relacionadas às criptos.

joker_josue

legendary

Activity: 1722

Merit: 4711

**In BTC since 2013**

Quote from: bitmover on December 29, 2022, 06:06:33 PM

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

Mas o Keepass interliga com os browsers? Ou tem na memoria do Firefox as senhas?

bitmover

legendary

Activity: 2352

Merit: 6089

bitcoindata.science

Quote from: rdluffy on December 29, 2022, 05:25:48 PM

Para vocês que usam, vocês deixam todas as senhas mesmo ou as senhas de banco e/ou pagamentos vocês não colocam?

Senhas de bancos/cartao eu não coloco.

Eu uso pra todos os sites, exceto pra bancos do dia a dia. Bancos/corretoras q eu quase não uso ficam no gerenciador.

Binance eu uso o gerenciador de senhas.

Daí todas as senhas são preenchidas automaticamente e eu não sei nenhuma. Todas as aleatórias e muito grandes com letras número e especiais. Todas únicas.

Eu botaria tudo. Aos poucos vc vai mudando....

Eu uso o do Firefox mesmo. Ele preenche automaticamente até em outros apps.

rdluffy

legendary

Activity: 2366

Merit: 1408

Quote from: bitmover on December 29, 2022, 12:27:44 PM

O keepass pode rodar localmente.

De tanto vocês falarem aqui que usam, vou acabar fazendo o teste pra ver se me acostumo
Mas não com todas as senhas, só com as menos sensíveis mesmo.

Para vocês que usam, vocês deixam todas as senhas mesmo ou as senhas de banco e/ou pagamentos vocês não colocam?

bitmover

legendary

Activity: 2352

Merit: 6089

bitcoindata.science

Quote from: joker_josue on December 28, 2022, 02:59:24 PM

Quote from: TryNinja on December 28, 2022, 02:31:17 PM

Já usei a Keepass, mas hoje em dia uso o Bitwarden (online).

Que garantias é que tem, que algo semelhante ao que aconteceu ao Lastpass não aconteça também com esse serviço?

O keepass pode rodar localmente.

Asism não tem servidor central pra ser hackeado .

O problema do lastpass é que ele é hackeado todo ano entoa a segurança é muito ruim..
Mas o keepass não tem histórico desse problema.

TryNinja

legendary

Activity: 2758

Merit: 6830

Quote from: joker_josue on December 28, 2022, 03:15:44 PM

E usas a versão free ou paga? Pelo o que percebi os níveis de segurança são os mesmos, o que muda são as funcionalidades.

Tenho o Bitwarden Premium, sim. Custa apenas $10 por ano e te permite configurar o 2FA das contas (não uso, pois prefiro separar essa responsabilidade) e guardar uns arquivos. Na verdade acabo não utilizando nenhuma das suas funcionalidades pagas, mas gosto de ajudar o desenvolvedor. Cheesy

joker_josue

legendary

Activity: 1722

Merit: 4711

**In BTC since 2013**

Quote from: TryNinja on December 28, 2022, 03:03:36 PM

Sempre tem esse risco quando o sistema é online. O importante é entender isso e usar uma senha-mestre forte.

Ora ai esta um ponto importante e fundamental.

E usas a versão free ou paga? Pelo o que percebi os níveis de segurança são os mesmos, o que muda são as funcionalidades.

Topic: LastPass foi hackedo (de novo) ,passwords, cartões de crédito e dados pessoais (Read 234 times)