La società di gestione delle password LastPass ha dichiarato che il suo prodotto inizierà presto a crittografare gli URL memorizzati nei vault, agendo così come un ulteriore livello di protezione contro le incursioni degli hacker.

Ogni utente di LastPass crea un "vault", che è essenzialmente un database di password e altre informazioni sensibili. Questo vault rimane protetto da password, ma tiene anche traccia di tutti i siti web aperti dall'utente e li incrocia con quelli memorizzati.

Se trova una corrispondenza, cercherà di aggiungere automaticamente le informazioni su nome utente e password ai campi corrispondenti, per un'esperienza più fluida.

Le protezioni di Microsoft

Agli albori di LastPass (dal 2008, in sostanza), queste informazioni sugli URL non potevano essere crittografate perché gravavano troppo sulla CPU, rallentando il browser e consumando troppa batteria. Gli sviluppatori hanno quindi deciso di lasciare gli URL non criptati.

Oggi che le CPU sono molto più efficienti e meno avide di energia, gli sviluppatori hanno deciso che era il momento giusto per reintrodurre la funzione. Non sappiamo se questo abbia a che fare con il fatto che la maggior parte degli OEM ha appena introdotto nuovi PC Windows basati su ARM. ARM, secondo i primi benchmark, sembra essere significativamente più potente ed efficiente dal punto di vista energetico rispetto all'architettura x86. Apple ha già fatto il salto qualche generazione fa con la sua serie M di silicio. 

La crittografia degli URL nei caveau delle persone non è un compito facile e dovrà essere implementata lentamente. Finora il processo sta procedendo come previsto, secondo quanto dichiarato dall'azienda. Secondo BleepingComputer, il processo avverrà in due fasi: la prima fase inizierà a giugno e la seconda nella seconda metà dell'anno. 

Non si prevede che gli utenti debbano intraprendere alcuna azione, ma in caso di cambiamenti LastPass invierà notifiche appropriate, ha confermato l'azienda. 

Alcuni utenti di LastPass stanno riscontrando difficoltà ad accedere ai propri account a causa degli aggiornamenti di sicurezza apportati dall'azienda.

I problemi sono iniziati nel maggio 2023, quando il noto password manager ha annunciato alcuni aggiornamenti imminenti e avvertendo gli utenti che avrebbero dovuto accedere nuovamente ai loro account e reimpostare l'autenticazione a più fattori (MFA).

Tuttavia, molti utenti non riescono ad accedere anche dopo aver resettato i codici sulle loro app di autenticazione, come Google Authenticator o LastPass.

Chiusi fuori!

Come se non bastasse, stando a quanto riferito, gli utenti colpiti non possono nemmeno accedere al supporto LastPass, poiché anche questo richiede il login. Al contrario, viene chiesto di reimpostare l'app di autenticazione più volte nel client, poiché il sistema non riconosce i nuovi codici impostati dagli utenti come da istruzioni.

Gli utenti hanno subito segnalato il problema su Twitter e sul forum dedicato per chiedendo spiegazioni. 

LastPass ha dichiarato che sono stati inviati messaggi in-app ed e-mail per avvisare i clienti di reimpostare l'MFA con largo anticipo rispetto all'annuncio effettivo degli aggiornamenti di sicurezza.

L'azienda ha poi spiegato cosa comportano effettivamente gli aggiornamenti di sicurezza. È stata rafforzata la Password-Based Key Derivation Function (PBKDF2), un algoritmo "che rende difficile per un computer verificare che una qualsiasi password sia la master password corretta durante un attacco di compromissione".

Il numero minimo predefinito di iterazioni di password dopo l'aggiornamento è passato a 600.000. Secondo LastPass, per effettuare questo aggiornamento è stato necessario disconnettere gli utenti dai loro account e chiedere loro di reimpostare l'MFA.

Se volete ottenere l'accesso al vostro account bloccato: "Dovete accedere al sito web di LastPass nel browser e iscrivervi nuovamente all'applicazione MFA prima di poter accedere a LastPass sul vostro dispositivo mobile." 

Notate bene che "Non è possibile iscriversi nuovamente utilizzando l'estensione del browser LastPass o l'app LastPass Password Manager,"

LastPass era presente nella nostra guida ai migliori password manager, ma da quando i caveau degli utenti sono stati rubati attraverso una serie di violazioni dell'azienda, abbiamo deciso di rimuoverlo. 

I caveau erano criptati e non vi è alcuna indicazione che i malintenzionati non siano effettivamente riusciti a decifrarli: del resto, solo se fossero riusciti a scoprire la password principale dell'utente avrebbero potuto accedervi. Gli altri dati personali rubati ai clienti, come le informazioni di contatto e di fatturazione, non erano criptati. 

Nel campo della gestione delle password non ci sono nomi più importanti di LastPass. Questa popolarissima applicazione è gestita da LogMeIn, una delle più grandi aziende SaaS del mondo, ed è in circolazione dal 2008.

Il successo invidiabile di LastPass è dovuto ad alcuni motivi convincenti. Ha buone politiche di sicurezza e funzioni di prim'ordine, tra cui una facile condivisione e moduli di generazione di password impressionanti, oltre a includere il monitoraggio del dark web e il login biometrico.

Tuttavia, non è certo l'unica applicazione a offrire queste capacità, quindi LastPass dovrà stupire se vuole mantenere il suo posto nella nostra classifica dei migliori password manager e dei migliori password manager aziendali.

LASTPASS: PIANI E PREZZI

Opzioni di abbonamento a LastPass:

Piano di 1 mese - 2,90 euro al mese (costo totale 2,90 euro)

A differenza della maggior parte dei password manager, LastPass offre due prodotti distinti per chi desidera proteggere e automatizzare la gestione delle password e delle credenziali per la propria azienda. Il primo è il piano Teams, che costa 3,90 euro utente/mese. Offre un vault per ogni utente, 2FA, una dashboard di sicurezza e il monitoraggio del dark web, ma è limitato a un massimo di 50 utenti.

Il piano di aggiornamento è il piano Business, che costa 5,70 euro utente/mese e può supportare un numero illimitato di utenti e include tutte le funzionalità del piano Teams. Questo piano aggiunge anche oltre 100 criteri personalizzabili, 3 app SSO con MFA e oltre 1.200 app SSO pre-integrate.

Il piano di autenticazione a più fattori o MFA, invece, non è tanto un servizio di gestione delle password quanto una soluzione di credenziali biometriche a più fattori per le aziende. Questo piano è un componente aggiuntivo che costa 3 euro utente/mese.

Esistono anche piani individuali che iniziano con un livello gratuito limitato a un dispositivo al mese. Pagando 2,90 euro per l'opzione Premium è possibile aggiungere l'accesso a tutti i dispositivi, una dashboard di sicurezza, il monitoraggio del dark web e l'accesso di emergenza, mentre il pacchetto famiglia da 3,90 euro consente agli utenti di implementare sei vault crittografati, un family manager, opzioni di condivisione rinforzate e dashboard personali. 

LASTPASS: CONFIGURAZIONE

Sebbene LastPass disponga di ottime applicazioni per macOS, Windows, Linux, iOS e Android, è più potente se integrato nella vostra esperienza di navigazione con un'estensione per il browser web. Queste estensioni sono disponibili per tutti i browser più comuni, tra cui Google Chrome, Firefox, Microsoft Edge (compresa la versione precedente a Chrome) e Opera.

Le estensioni del browser per tutte le principali piattaforme consentono agli utenti di godere di un'esperienza di gestione delle password senza soluzione di continuità. La tecnologia Single Sign-On fa sì che, una volta inserita la password principale, l'estensione compili automaticamente le password e le altre credenziali quando si visitano siti conosciuti.

È comunque importante scaricare l'applicazione LastPass, che sarà il punto di riferimento degli utenti per la gestione dei dati e delle impostazioni dell'account. L'applicazione è facile da scaricare su tutte le piattaforme e l'accesso richiede solo la password principale o le informazioni biometriche.

LASTPASS: INTERFACCIA E PRESTAZIONI

Le aziende saranno liete di sapere che LastPass è dotato delle funzioni di condivisione e generazione delle password, accesso di emergenza, login one-touch e sincronizzazione automatica di tutti i dati.

La combinazione di gestione delle password e MFA consente a LastPass di proteggere ogni punto di accesso utilizzato dai dispositivi aziendali, con single sign-on per oltre 1.200 applicazioni integrate.

I controlli avanzati degli amministratori consentono inoltre agli amministratori IT di sfruttare oltre 100 criteri per la gestione degli utenti e il controllo dei dati. Ciò la rende una delle piattaforme di gestione delle password più personalizzabili disponibili.

Le applicazioni di LastPass funzionano in modo eccellente e nel nostro test non abbiamo riscontrato alcun aspetto negativo. La sincronizzazione è stata efficiente e con pochi ritardi, e il lavoro su più dispositivi e browser è stato molto fluido, proprio come pubblicizzato dall'azienda.

Le applicazioni sono ben progettate e l'interfaccia utente è facile da navigare. Abbiamo testato l'applicazione su Windows 10, iOS e Android e siamo rimasti impressionati. Abbiamo apprezzato in particolare la suddivisione dei dati in diverse opzioni di menu. In questo modo gli utenti possono organizzare facilmente password, carte di credito, note e indirizzi.

LASTPASS: SICUREZZA

La politica di sicurezza può rendere un fornitore di gestione delle password un successo o un fallimento. Fortunatamente, LastPass è riconosciuto come uno dei gestori di password più sicuri disponibili. La piattaforma LastPass cripta tutti i dati da un capo all'altro utilizzando una crittografia AES a 256 bit e utilizza un Transport Layer Security avanzato per prevenire gli attacchi durante il transito.

Inoltre, come standard del settore, LastPass non memorizza le master password o le chiavi di autenticazione degli utenti né localmente né sui propri server. In questo modo nessuno, compreso LastPass, può accedere ai dati criptati di un utente da remoto.

Siamo rimasti particolarmente colpiti anche dal frequente audit esterno di LastPass e dal protocollo trasparente di risposta agli incidenti. Ciò significa che se ci sono dei punti deboli nel sistema LastPass, questi vengono rapidamente identificati e risolti.

Infine, il programma LastPass bug bounty aggiunge un pilastro a livello di comunità al quadro di sicurezza della piattaforma e protegge ulteriormente LastPass da bug e debolezze del software.

LASTPASS: ASSISTENZA CLIENTI

Sia le aziende che i privati possono usufruire dei forum di LastPass. La pagina dei forum contiene discussioni su numerosi argomenti legati al business e siamo riusciti a trovare consigli per molti problemi di nicchia. Ci sono anche molti articoli di aiuto.

Per i problemi che non possono essere risolti esplorando il forum e gli articoli, sono disponibili anche corsi di formazione online gratuiti e tutorial. Anche l'assistenza via e-mail è prontamente disponibile, ma solo alcuni piani prevedono l'assistenza telefonica.

LASTPASS: LA CONCORRENZA

Sebbene LastPass sia ricco di funzioni e molto conveniente, esistono opzioni più economiche che potrebbero interessare le aziende con un budget limitato.

Ad esempio, Sticky Password e RememBear sono più economici di LastPass, con funzionalità e protocolli di sicurezza simili. Un altro forte concorrente è il gestore di password aziendali N-Able Passportal e il gestore di password di Norton.

LASTPASS: GIUDIZIO CONCLUSIVO

LastPass è uno dei migliori password manager disponibili e i responsabili aziendali o gli amministratori IT farebbero bene a prenderlo in considerazione per la loro organizzazione. Funzioni avanzate, sicurezza di altissimo livello, controlli e analisi centralizzate per l'amministratore sono tutti elementi che fanno la differenza in questa superba soluzione di gestione delle password.

Nonostante le sue caratteristiche avanzate, LastPass è ancora molto conveniente nella maggior parte dei casi, e questo contribuisce in modo significativo alla nostra opinione favorevole sulla piattaforma.

Un altro aggiornamento sulla recente violazione dei dati di LastPass svela altre notizie potenzialmente negative per gli utenti del popolare password manager. 

Paddy Srinivasan, CEO di GoTo, società madre di LastPass, ha rivelato in un post sul blog che gli aggressori che hanno preso di mira il servizio di cloud storage condiviso da entrambe le società, e sono poi riusciti a sottrarre i backup crittografati relativi a una serie di prodotti.

Questi prodotti includono Central, Pro, join.me, Hamachi e RemotelyAnywhere.

Chiavi di crittografia rubate

Oltre ai backup crittografati, gli aggressori hanno rubato anche una chiave di crittografia per "una parte" dei backup crittografati, ha aggiunto Srinivasan.

I dati ora a rischio comprendono nomi di account, password (sottoposte a salt & hash), una parte delle impostazioni dell'autenticazione a più fattori (MFA) e alcune impostazioni di prodotti e informazioni sulle licenze. I dati bancari o delle carte di credito non fanno parte del bottino (almeno per ora, per quanto ne sappiamo). 

Anche le date di nascita, gli indirizzi di casa e i numeri di previdenza sociale degli utenti sono stati dichiarati sicuri, in quanto GoTo non li memorizza.

Inoltre, un "piccolo sottoinsieme" di utenti di Rescue e GoToMyPC ha subito un impatto sulle impostazioni MFA. I database crittografati, tuttavia, non sarebbero stati sottratti.

Sebbene tutte le password degli account siano state sottoposte a salting ed hashing "in conformità con le migliori pratiche", GoTo ha comunque resettato le password degli utenti interessati, chiedendo loro di riautorizzare le impostazioni MFA, ove possibile. L'amministratore delegato ha inoltre dichiarato che l'azienda sta migrando gli account interessati su una piattaforma di gestione dell'identità migliorata per garantire una maggiore sicurezza e opzioni di autenticazione e sicurezza basate sul login più solide.

Srinivasan ha confermato che i clienti interessati sono stati contattati direttamente.

LastPass ha riferito per la prima volta di aver subito una violazione dei dati nel novembre 2022. Un'indagine iniziale ha stabilito che gli hacker sono riusciti a rubare la cassaforte dei clienti, che è sostanzialmente la lista di password. Tuttavia, gli archivi stessi sono criptati, il che significa che per i malviventi non sarà così facile leggerne il contenuto.

"Questi campi criptati rimangono protetti dalla crittografia AES a 256 bit e possono essere decifrati solo con una chiave di crittografia unica derivata dalla password principale di ogni utente, utilizzando la nostra architettura Zero Knowledge", ha dichiarato Karim Toubba, CEO di LastPass. "Come promemoria, la password principale non è mai nota a LastPass e non viene memorizzata o mantenuta da LastPass".

LastPass, uno dei password manager più utilizzati al mondo, e la piattaforma per videochiamate GoTo, sua affiliata, hanno subito una fuga di dati dalla propria infrastruttura cloud in seguito ad un attacco avvenuto nel mese di agosto 2022.

In quanto servizio che punta tutto sulla garanzia di sicurezza delle password, dei dati degli utenti e sulla facilità di gestione degli acessi, l'accaduto ha duramente colpito LastPass, che ha prontamente reagito.

In un recente aggiornamento sugli avvenimenti, fornito dalla stessa azienda, LastPass ha dichiarato di aver rilevato alcune attività sospette nel servizio cloud gestito da terzi parti a cui si appoggia. L’indagine, avviata dal CEO di LastPass Karim Toubba, con il supporto degli esperti di cybersicurezza di Mandiant, ha portato alla luce il furto di dati.

In poche parole, l’attacco a permesso ai malintenzionati di appropriarsi delle credenziali di accesso al server e ottenere alcuni dati legati ai clienti.

Le password sono al sicuro

Toubba ha subito precisato che le password sono al sicuro: “Grazie all’architettura Zero Knowledge di LastPass, le password degli utenti sono rimaste private. Nonostante l’hacker sia riuscito ad ottenere l’accesso da sviluppatore, il design del sistema gli ha impedito di appropriarsi delle password e dei dati identificativi”.

Il sistema Zero Knowledge è una struttura crittografica che permette di validare le informazioni scambiate senza rivelarle: “Mentre l’indagine segue il suo corso – prosegue Toubba – abbiamo implementato nuovi metodi di sicurezza e non abbiamo rilevato ulteriori attività sospette”.

Attualmente, non è stato ancora scoperto il metodo di violazione impiegato dall'hacker, ma le dichiarazioni del CEO sono sicuramente rilevanti per le oltre 100.000 aziende che usano quotidianamente LastPass.

Nel mese di agosto 2022 LastPass, noto password manager ampiamente diffuso tra gli utenti di tutto il mondo, ha subito un attacco informatico da parte di un groppo hacker.

A comunicarlo è l'azienda stessa in un post pubblicato sul forum della community, nel quale si legge a chiare lettere che l'attacco è avvenuto due settimane fa. Gli hacker si sono intrufolati nell'ambiente di sviluppo di LastPass dopo aver compromesso l'account di uno sviluppatore, accedendo a parte del codice sorgente e ad alcune informazioni tecniche private di LastPass.

L'azienda ha adottato da subito misure di contenimento e ha richiesto la collaborazione di un'importante società di cybersicurezza per limitare i danni. L'indagine sull'incidente è ancora in corso ma LastPass ha comunicato ai suoi utenti che, al momento, non ci sono prove che l'attacco abbia comportato l'accesso ai dati dei clienti o ai caveau delle password crittografate.

• Ecco perché vale la pena usare un generatore di password
• I migliori antivirus del 2022
• Offerte Antivirus: i migliori software di protezione scontati

Al momento i servizi di LastPass funzionano normalmente ma per prevenire altri attacchi, l'azienda ha prontamente implementato nuove misure di sicurezza e sta valutando ulteriori tecniche di mitigazione.

LastPass informa gli utenti che nessuna delle Master password è stata compromessa e afferma di non memorizzare o essere a conoscenza delle Master Password dei propri utenti. 

Il gestore di password utilizza infatti un'architettura Zero Knowledge, standard del settore, che garantisce che LastPass non possa mai conoscere o accedere alla Master Password dei propri clienti.

In sostanza, se utilizzate LastPass, non dovreste avere nulla di cui preoccuparvi.

Fonte: Gizmochina