|
Mi vengono in mente due cosette. La prima è una risposta a diversi commenti che ho letto tempo fa. Quando hai in mano il file con le password crittografate o comunque un qualsiasi file crittografato con dati importanti allora sei con le spalle al muro e i nodi vengono al pettine tutti insieme.
Con quel file puoi fare infiniti tentativi di crack, di brute force e di attesa che qualcuno scopra qualche vulnerabilità da qualsiasi parte. Alcuni commentatori dicevano: "tanto puoi fare fino a 3 tentativi e poi ti devi riloggare", "quindi è un sistema sicuro". Ecco, la risposta è questa, con i Cracker che hanno il file in mano e succede sempre prima o poi, sia con lastpass che con Google che con Apple. Prima o poi succede.
I cracker adesso possono andare alla ricerca di bachi nel protocollo crittografico usato che non è solo AES ma anche la generazione della password crittografica. Se questo sistema non è open source la vedo dura e prima o poi trovano una vulnerabilità indipendente da AES che è ultratestato.
Anche perché quei file rimarranno in Rete per sempre e quindi finiranno in tantissime mani soprattutto di esperti.
La seconda cosa che mi viene in mente è che questo sistema è sicuro se è un sistema open source e se si mettono nel cloud password non troppo importanti. Quindi riassumendo:
* software open source con uso di algoritmi standard e di provata efficacia
* crittazione in locale e salvataggio nel cloud
* inserire password di media importanza
* le password importanti vanno mantenute a memorie e/o memorizzate in locale con file crittato
Per ultimo evitare i sistemi semplici, il cloud deve essere un semplice archivio di un file crittografato mantenuto il più al sicuro possibile. In definitiva non ho approfondito come funziona lastpass ma credo che per semplificare la vita agli utenti e per guadagnarci abbia sacrificato la sicurezza.
|