LastPassがこれほど安全なのはなぜですか？

LastPassの使用がどのように安全であるかを単純に理解することはできません。攻撃者が行う必要があるのは、1つのLastPassアカウントを侵害することだけです。その後、他のすべてのWebサイトも侵害されます。

サイトごとに別々のアカウントを持つ従来のアプローチと比較して、それについて何がそんなに良いですか？

1つの強力なマスターパスワード、マスターパスワードを介してアクセスできる強力なサイト固有のパスワードを用意する方が、脆弱なパスワードを持つよりも、すべてのWebサイトで異なる方が本当に良いのでしょうか。

各サイトに固有の複雑なパスワードを作成できるようにすることに加えて、無料の第2要素認証であるグリッドも提供しています。したがって、グリッドが使用されている場合、ユーザー名とパスワードだけではデータにアクセスできません。

さらに、パスワードは一般に安全ではないFirefoxまたはIEのパスワードマネージャーに保存されません（インストーラーを実行して、すべてのパスワードを取得する方法を確認してください）。

クラウドへの保存に関しては、サーバーに送信される前にすべてがローカルで暗号化され、キーは送信されません。弊社のWebサイトのテクノロジーページで、お客様を安全に保つ方法について詳しくお読みいただけます。

LastPassを特に安全だとは考えていません（「クラウドに」保存されているもののように）、ローカルソリューション（KeePassなど）の方が好きです。ログイン情報へのオンラインアクセスの利便性は、容認できない価格で提供されます（少なくとも妄想の古い私にとって）。

安全にできるのは、たとえ彼らの頭に銃を持っていても、彼らはあなたのパスワードが何であるかをだれにも伝えることができないということです。Webインターフェイスを使用する場合でも、パスワードはローカルに暗号化されてから送信されます。

はい、グリッドが使用されない限り、「単一障害点」を提供するのは事実です。しかし、あなたは途方もなく強力なマスターパスワードを持っている可能性があります-あなたが1日1回だけそれを行う場合、100文字のパスワードを入力する必要がある場合、誰が気にしますか？また、「サブパスワード」が保存されるため、通常よりも強力になります。

もう1つの利点は、ほとんどの人がすべてのWebサイトに異なるパスワードを持たない（またはパターンを持つ）ことであり、LastPassを使用するとこれを捨てることができます。そのため、あなたがいたすべてのサイトがあなたがいた他のすべてのサイトへの潜在的なエントリーポイントであったのに対し、今ではLastPassアカウントのみが存在しています。「サブパスワード」を解読しても、攻撃者に余分な情報はもたらされません。

あなたがいるサイトがあなたのパスワードを暗号化しているのか、それともソルトしているのかわからないので、これは便利です。データベースに暗号化されていないパスワードを保存する1,100万人のユーザーがいるWebサイトに名前を付けることができます。

最後に、LastPassは、信頼できない場所にあるパスワードにアクセスするためのワンタイムパスワードなどの機能を提供します。これにより、最先端のキーロガーからもアカウントを保護できます。

サイトをざっと見てみると、あなたのポイントは正しいと思います...誰かがあなたのパスワードを解読すると、すべてのパスワードが手に入ります。

そこから見て、サイトごとに別々のパスワードを持っていることよりも「安全」だと思うものは何もありません-とにかく…最後のパスは管理を容易にします。

ポッドキャストで LastPass について言及されている（Security Now！名声の）Steve Gibsonを知ることは役に立つかもしれません：

...私が言わなければならないのは、可能な限り最良の解決策だと思います。

現在の600を超えるセキュリティエピソードでは、ギブソンは、最高のパスワードが意味のない長いパスワードであることをリスナーに思い出させます。この特定のポッドキャストで彼は言う

...パスワードが長いほど強力です

セキュリティを保証できるオンラインのパスワード保存ツールはありません。彼らは、ホスト証明パスワード保存メカニズムがホストからパスワードを隠し、クライアント側だけがキーと復号化されたフォームを知っていると主張しています。

しかし、次のブログ投稿はその主張の欠陥を示しています。

オンラインパスワードストレージを信頼できない理由の1つ

ChromeプラグインでLastPassを使用すると、ログインページに移動してパスワードを入力し、コンソールに次のように入力することでパスワードを取得できました（を押しますF12）。

document.querySelectorAll("[type=password]")[0].value

これは、二要素認証と「パスワードの表示/コピーにマスターパスワードが必要」オプションが有効になっています。これを自動化するのは難しくないと思います。つまり、「Bob from LastPass」が主張しているように思えるのとは反対に、他のパスワードストレージと同じようにパスワードをLastPassから簡単に引き出すことができます。

弱い/再利用されたパスワードまたは一般的なキーロガーによる侵害のリスクは、LastPassを特に攻撃しているマルウェアからのリスクよりも大きいため、LastPassは、Steve Gibsonなどのセキュリティ専門家による手動パスワード管理よりも優れていると考えられます。それでも、私はそれを失う余裕があるサイトにのみ使用し、銀行/プライマリメール/ Dropboxなどには決して使用しません。

サーバーからダウンロードされるすべてのパスワードに2要素認証が必要なパスワードマネージャー（LastPassは初回ログイン時にのみ必要）は、感染したコンピューターで使用されたパスワードのみに損害を制限しますが、パスワードマネージャーが見つかりませんまだそのオプションで。