Vlákno názorů k článku LastPass byl podruhé napaden, unikly hashe hesel od J - Mohl by někdo napsat, jak +- ta služba...
-
J (neregistrovaný)
Ne.
Chci LastPass používat na více strojích. To nutně znamená, že na všech těchto strojích musí být šifrovací klíč. Jelikož ho uživatel nepřenáší na flashce, tak je buďto nějak uložen u LastPass (pochybuju), nebo je nějak odvozen z master hesla.
Zajímá mě, který případ platí, a odpověď na otázku "Jak?". -
J (neregistrovaný)
To nepopírám, jenže to, že něco vzniklo "zahashováním" neříká nic:
Šifrovací klíč vzniká zahashováním hesla.
Přihlašovací klíč vzniká zahashováním hesla.
Byly ukradeny zahashované přihlašovací klíče, tedy něco, co vzniklo (opakovaným) zahashováním hesla.
Tak se ptám, jestli někdo nenarazil na přesnější popis algoritmů. Já totiž všude vidím jen marketingové sračky. (A reverzit to naneštěstí nemám čas :X) -
Lukas (neregistrovaný)
Docela pekne povidani o fungovani LastPass najdete treba tady:
https://media.grc.com/sn/sn-256.mp3
https://www.grc.com/sn/sn-256.htmpotom povidani o tom hacku tady:
https://www.youtube.com/watch?v=ujDAYTXTpaM
Dulezita informace je ze sul pro kazdeho uzivatele je jina a hashe jsou z hesla vytvareny pomoci velkeho poctu iteraci (da se nastavit) Password-Based Key Derivation Function (PBKDF2) s tim ze misto SHA-1 pouzili SHA-256. viz https://helpdesk.lastpass.com/account-settings/general/password-iterations-pbkdf2/
