LastPass ประกาศว่าบริษัทพบความผิดปกติในเครือข่ายภายใน และเมื่อตรวจสอบแล้วพบว่าฐานข้อมูลที่มีข้อมูล อีเมล, ข้อมูลช่วยจำรหัสผ่าน, ค่า salt ของผู้ใช้รายคน, และค่าแฮชรหัสผ่าน ได้ถูกขโมยออกไปจากเซิร์ฟเวอร์
ทาง LastPass ระบุว่ายังมั่นใจว่าการเข้ารหัสตัวรหัสผ่านด้วย PBKDF2-SHA256 ที่หนึ่งแสนรอบบนเซิร์ฟเวอร์เพิ่มจากฝั่งไคลเอนต์จะช่วยให้รหัสผ่านของผู้ใช้ปลอดภัยดีอยู่ แต่เพื่อความไม่ประมาททาง LastPass จะให้ผู้ใช้ทุกคนที่ล็อกอินจากไอพีหรืออุปกรณ์ที่แปลกไปจากเดิมให้ยืนยันตัวตนอีกครั้ง พร้อมกับแจ้งเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านหลัก (master password)
ทาง LastPass ขออภัยผู้ใช้ที่ต้องลำบากจากขั้นตอนที่เพิ่มขึ้นมา และแนะนำให้เปิดใช้าน multifactor authentication อีกชั้นเพื่อความปลอดภัย
ที่มา - LastPass
Get latest news from Blognone
Follow @twitterapi
Hiring! บริษัทที่น่าสนใจ
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
อืม lastpass ....
lostpass
ถถถถ
ผมเปิดอยู่นะใช้ Google Authenticator
กรี๊ดดดดด
ผมฝากชีวิตไว้กับ lastpass เลยนะ
ทำไมถึงทำกันฉันได้
ปล. ได้เวลาโละรหัสผ่านเก่าแล้วสินะ
วันนี้รีบติดตั้ง Google Authenticator แบบรุนแรงๆ
Single point of failed เลยทีเดียว
เอาดินสอ เขียน password ใส่กำแพงห้องไว้ เหมือนผมเหอะ
ปลอดภัยกว่าเยอะ
1Password จะรอดไหมครับ
1Password เก็บไฟล์ไว้กับตัวครับ ไม่ได้เก็บไว้บน Server
ใช้ keepass offline อยู่
ตอนนี้ใช้วิธีบันทึกลง excel แล้วตัว password ก็เขียนแค่ 3 ตัวแรก วิธีนี้น่าจะปลอดภัยถึงคนอื่นจะเอาไฟล์ไปได้ก็เดาพาสเวิร์ดตัวที่เหลือไม่ได้อยู่ดี
โชคดี Dashlane ไม่โดน
เหอเหอ
PBKDF2-SHA256 ที่หนึ่งแสนรอบ เกือบอุ่นใจนะ แต่ อีเมล, ข้อมูลช่วยจำรหัสผ่าน พวกนี้ก็ทำให้เดือดร้อนได้แล้ว
ชิบเป๋งละ ฝากพาสไว้ในนั้นทั้งหมดเลย
PBKDF2-SHA256 ที่หนึ่งแสนรอบ
เข้ารหัสที่หนึ่งแสนรอบ อาจจะถอดได้ที่ไม่กี่ร้อยรอบก็ได้นะ เพราะไม่จำเป็นต้องถอดตามการเข้ารหัสเสมอไปรึเปล่า
ครับ แต่ SHA256 จนตอนนี้ยังไม่มีใครรายงานทางลัดแบบนั้น
lewcpe.com, @wasonliw
จากข่าวต้นทาง เหมือนว่ารหัสผ่านที่ถูก hash ไว้นั้นเป็นส่วนของ LastPass ไม่ใช่ส่วนที่ผู้ใช้งานบันทึกไว้บนนั้น (Because encrypted user data was not taken, you do not need to change your passwords on sites stored in your LastPass vault) แต่ก็นะ อะไรสำคัญก็เปลี่ยนสักหน่อยก็คงไม่เสียหายมั้ง
LastPass ถูกแฮ็ก ผู้ใช้งานควรเปลี่ยนรหัสผ่านเพื่อความปลอดภัย
ดีนะที่ผมตั้งค่าให้ล๊อคอินเฉพาะในไทย ปลอดภัยระดับหนึ่ง (หวังว่าไม่ใช่คนไทยที่เจาะ)