本帖最后由 kafn_killer 于 2023-12-26 14:31 编辑
看这类信息不要只看媒体转载，你得追过去看原文。
我知道lastpass过去的每一次安全问题，所以才会在前面的回复中加上限定，即：
【保护好主密码的情况下，目前的安全问题 都不会影响 存储密码的安全】
原文在此：https://blog.lastpass.com/2022/1 ... -security-incident/
重点部分如下（红色和黑色部分更重要）：
The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data. These encrypted fields remain secured with 256-bit AES encryption and can only be decrypted with a unique encryption key derived from each user’s master password using our Zero Knowledge architecture. As a reminder, the master password is never known to LastPass and is not stored or maintained by LastPass. The encryption and decryption of data is performed only on the local LastPass client. For more information about our Zero Knowledge architecture and encryption algorithms, please see here.
威胁行为者还能够从加密的存储容器中复制客户保险库数据的备份，该存储容器以专有的二进制格式存储，其中包含未加密的数据，如：网站URL，以及 完全加密的敏感字段，如：网站用户名和密码，安全注释和表单填充的数据。这些加密字段通过256位AES加密保持安全，并且只能使用我们的零知识架构，使用从每个用户的主密码导出的唯一加密密钥进行解密。提醒一下，LastPass永远不会知道主密码，LastPass也不会存储或维护主密码。数据的加密和解密仅在本地LastPass客户端上执行。有关我们的零知识架构和加密算法的更多信息，请参阅 此处。
黑客把整个服务器拿走，只要你的主密码安全，他是看不到里面的密码的。不明文存储、不存储主密码这对任何一个正经、靠谱的密码管理器厂商来说，都是基本操作，你发的IT之家新闻里，只有情绪没有价值。
| 
楼主: 钟哥
[复制链接]
发表于 2023-12-25 14:17:01
