Kako se zaščititi pred novo grožnjo vdora LastPass

2024 Avtor: Malcolm Clapton | [email protected]. Nazadnje spremenjeno: 2023-12-17 04:10

Včeraj je bil odkrit pravi način kraje podatkov iz priljubljenega upravitelja gesel LastPass. Priporočamo, da preberete ta članek, da ne nasedete na vabo.

Uporabljamo številne spletne storitve in spletne aplikacije, od katerih vsaka zaradi varnosti zahteva drugačna imena in gesla. Nemogoče jih je vse obdržati v glavi, zato so upravitelji gesel zelo razširjeni. Zagotavljajo zanesljivo shranjevanje in priročno uporabo prijav in gesel ne le za spletne storitve, ampak tudi za plačilne sisteme, bančne račune itd. Zato lahko puščanje ali pokanje takšnega upravitelja gesel postane velika težava za mnoge uporabnike.

Ena izmed najbolj priljubljenih tovrstnih aplikacij je LastPass. To je res odlična rešitev, ki je prestala preizkus časa in številne hekerske napade. Vendar pa je včeraj specialist za računalniško varnost Sean Cassidy odkril možnost lažnega napada na LastPass. Spretno ga je poimenoval LostPass (izgubljena gesla).

Skratka, najdena ranljivost izgleda takole. Najprej vas napadalec privabi na svojo stran, ki prikaže lažno (!) obvestilo, da je vaša seja potekla in se morate znova prijaviti. Verjetno ste že videli podobna obvestila iz LastPass.

Ker je obvestilo ponarejeno, vas s klikom na gumb Poskusi znova pripeljete na posebej izdelano stran, ki izgleda natanko kot standardni obrazec za prijavo in geslo LastPass. Imel bo celo naslov skoraj enak, kot ga imajo običajno strani storitev brskalnika, ki jih odprejo nameščene razširitve. Razen majhne podrobnosti, ki sem jo poudaril na posnetku zaslona. Prepričan sem, da večina uporabnikov ne bo posvečala pozornosti takšni malenkosti.

Nato na tej strani vnesete svoje uporabniško ime in geslo, da se prijavite v LastPass, in takoj prideta v roke hekerjev. Posledično imajo slednji popoln dostop do vseh vaših spletnih mest in poverilnic. Napad deluje, tudi če imate omogočeno dvofaktorsko preverjanje pristnosti, samo hekerjevo zaporedje dejanj bo korak dlje. Več o delovanju LostPass si lahko preberete (v angleščini).

Seveda se sprašujete, kako se lahko zaščitite pred to nevarnostjo. Dokler razvijalci LastPass ne sprejmejo ukrepov za preprečevanje takšnih napadov lažnega predstavljanja, lahko uporabniki začasno onemogočijo razširitev brskalnika te storitve. Da, to je neprijetno in vas bo prisililo, da ročno kopirate zahtevana gesla s spletne strani LastPass. Bolj radikalna možnost je najti enakovredno alternativo za shranjevanje gesel in zaupnih podatkov.

Ali še vedno uporabljate LastPass ali ste preklopili na drugega upravitelja gesel?