¿Cómo es seguro compartir LastPass?

Question

¿Cómo es seguro compartir LastPass?

#1 de RubberStamp (4 votos)
#2 de ScarySpider (1 votos)
#3 de Mike Ounsworth (0 votos)

4

Estoy tratando de entender cómo LastPass puede ser seguro si permite compartir contraseñas con usuarios que aún no han creado cuentas.

Su Preguntas frecuentes dice: "Cuando desea compartir datos con otra persona, tira su clave pública y la utilizan para cifrar los datos ". Sin embargo, el hilo del foro "Compartir contraseña: ¿cómo se hace esto de manera segura?" lo hace aclare que puede compartir una contraseña con alguien que no tenga una cuenta de LastPass porque "se les dará la oportunidad de crear una cuenta".

¿Cómo puede ser esto seguro? El escenario inseguro que imagino es:

Indico qué contraseña quiero compartir y qué usuario (futuro) debería recibirla
Mi cliente LP encripta los datos con una clave propiedad del servidor y los carga en el servidor
El otro usuario crea una cuenta y un par de claves RSA
El servidor cifra mi contraseña usando la clave pública recién creada
El cliente LP del otro usuario descarga los datos cifrados desde el servidor
El cliente LP del otro usuario descifra los datos usando la clave privada del usuario

En este escenario, la contraseña es legible por personas que no sean mi destinatario: los administradores del servidor de LP pueden leerla. Si el servidor no lo almacena de forma segura y si sufren una infracción de seguridad, aún más personas pueden leerlo. Esto parece un caso de ventaja, pero si los administradores están dispuestos a hacer que mis contraseñas estén disponibles para ellos en este caso, me imagino que están dispuestos a hacerlo en otros casos.

El administrador en el hilo del foro vinculado anteriormente y los empleados que responden a mis consultas de servicio al cliente no han comprendido el problema o están tratando de ignorar a las personas que preguntan sobre esto. (El hilo del foro es difícil de creer porque el administrador hace un buen trabajo para evitar el problema de seguridad).

passwords password-management

pregunta JellicleCat 12.12.2017 - 19:39

fuente

3 respuestas

Lea otras preguntas en las etiquetas passwords password-management

Iniciar sesión en Google+: flujo de código de un solo uso versus flujo del lado del servidor puro ¿Es vmware vulnerable a shellshock?

score 4 · Answer 1

De acuerdo con el hilo del foro vinculado, se requiere que el destinatario objetivo cree una cuenta antes de que la contraseña sea "compartida" ...

Los participantes del hilo afirman que no se almacena ninguna contraseña compartida sin cifrar en los servidores LP. Una vez que el objetivo compartido crea una cuenta y proporciona una clave pública, la contraseña de destino se cifrará con la clave pública del usuario de destino en su lado del cliente y se cargará en la base de datos de LP.

Referencia de hilo:

by jonat » Wed May 25, 2011 4:46 pm

If you read the user manual about sharing, it sends the recipient an 
email inviting them to open a LP account if they don't have one. As 
Israel says, nothing is actually shared until the account exists and 
the sharing accepted, by which time the keys are in place.

score 1 · Answer 2

Al igual que con cualquier servicio de administración de contraseñas, básicamente debe confiar en que los desarrolladores / operadores del servicio implementaron todo correctamente. Si cortan esquinas o cometen errores, bueno, no tiene suerte en cuanto a seguridad.

No estoy completamente familiarizado con LastPass, pero imagino que almacenan y administran las claves públicas de la cuenta para mantener la confianza de esas claves públicas. Por lo tanto, creo que si intenta compartir una contraseña, el otro usuario creará una cuenta y luego su instancia de LastPass extraerá la clave que estaba esperando para que se encripte la contraseña.

Pero este podría no ser el caso, ya que LastPass es bastante opaco en sus métodos y software. Se reduce a si cree que LastPass como compañía y tecnología es confiable. Si lo son, lo cual es probable, entonces tienes poco de qué preocuparte.

score 0 · Answer 3

Bueno, sí. Si la función es que puede "enviar" una contraseña a alguien que todavía no tiene una cuenta / clave pública, y desea que se la entreguen tan pronto como creen una cuenta, entonces sí, debe almacenarse en el servidor. de alguna manera, el servidor puede volver a cifrar los datos en el futuro para alguna clave que aún no existe.

El hecho de que se nieguen a darle una respuesta directa es un mal servicio al cliente, pero no puedo imaginar que la función funcione de la manera que usted describe, entonces creo que tiene que funcionar de la manera que lo describe. Si no se siente cómodo con esto, espere hasta que los usuarios tengan una cuenta y una clave pública antes de enviarles datos confidenciales.