Newsgroup: it.lavoro.informatica
Titolo: LastPass di nuovo problemi, seri stavolta

Ciao a tutti,
 
premessa 1: metto in cross-posting su gruppi in cui presumo possa essere di
interesse, ma c'è il follow-up da seguire.
 
premessa 2: la notizia è della scorsa estate e io uso un altro password
manager, ma non ho letto granché sui NG del data breach che ha riguardato
LastPass sia per il database utenti che per il codice sorgente.
 
All'inizio pareva non fosse stato sto gran leak, invece a Natale è venuto
fuori che l'episodio era molto più grave:
https://grahamcluley.com/lostpass-after-the-lastpass-hack-heres-what-you-need-to-know/
 
 
Allora ho pensato "vabbè le password saranno state ben protette e difficili da
craccare", poi ho letto questo e ho cambiato idea:
https://markuta.com/cracking-lastpass-vaults/
 
 
Quindi se ancora usate LastPass per gestire le credenziali, magari è meglio se
cambiate tutto.
 
x-post e f/u

 
 
per caso usi keepass? Nell'azienda dove lavoravo prima tutte le password
erano memorizzate in file keepass, e ogni volta che avevamo bisogno
di una password facevamo riferimento per forza al keepass.


parla di lastpass, che ha lo stesso scopo ma concettualmente del tutto 
diverso. con keepass hai un db locale tuo con lastpass invece il vault è 
su cloud gestito da loro. motivo per cui si parla con preoccupazione del 
data breach visto che interessa milioni di vault.

 di una password facevamo riferimento per forza al keepass.
 
adesso sono curioso:
 
- come lo sincronizzavate? svn? git?
- come gestivate i conflitti? (modifiche di piú credenziali nello stesso 
tempo)
- rotazione della master password: come divulgarla, come proteggerla, ecc.


anni fa ho avuto anch'io esperienza con un cto fissato con keepass e che 
non ne voleva sapere di un password manager enterprise. 
era talmente legacy (eufemismo) che ogni volta si licenziava qualcuno 
cambiava la master password e questa cosa l'aveva messa pure nella 
procedura di offboarding pensando fosse sicurezza...


Perdona ma hai mai visto come funziona un password manager enterprise?
Non disco last pass ma anche solo un pleasant.
 
Ciao
   Francesco


infatti lui sta chiedendo come facevano con keepass, che non è affatto un 
password manager enterprise.

 password manager enterprise.
 
brao
 
anche perché, pur anni addietro senza le fighetterie che si sono adesso, 
un software come Keepass mi suona come una cattiva idea, ma proprio 
tanto cattiva, a livello enterprise


ma dai!
non avete mai trovato aziende dove un processo diventato
negli anni sempre più complesso è gestito con un foglio Excel
in una cartella condivisa al quale accedono più utenti?
 
ecco stessa cosa magari all'inizio erano in tre e ubicati nello
stesso ufficio e keepass era la soluzione immediata a basso costo poi...
 

 ufficio e keepass era la soluzione immediata a basso costo poi...
 
...poi di solito si prende la tranvata :-D
 

Il giorno lunedì 9 gennaio 2023 alle 22:35:48 UTC+1 M C ha scritto:

non usavamo alcun vcs, i file keepass stavano in cartelle condivise a cui
tutti avevamo accesso. Se qualcuno doveva modificare una password
apriva il file direttamente nella condivisa e la modificava.
Per quanto riguarda la master password, veniva detta a voce e dovevamo
ricordarla, ma non era difficile da ricordare.

 ricordarla, ma non era difficile da ricordare.
 
ok
 
visti i risultati ottenuti fidandosi di prodotti come LastPass, questo 
sistema sembra molto piú sicuro
 
a parte le battute, in una azienda con 200+ dipendenti una cosa del 
genere sarebbe impensabile ed estremamente rischiosa
 
io sto lentamente cancellando e rimpiazzando tutte le credenziali 
personali di lavoro da LastPass in un database Keepass locale come 
backup, ma le nuove credenziali sono generate usando un software 
vaultless, il Cloudflare Gokey. Mi devo ricordare la master password e 
il realm (il realm non necessita di essere segreto): nessun file 
salvato, nessun rischio, a parte quello di perdere la master password, 
le credenziali vengono generate a runtime ogni volta che si esegue il 
programmino - ovviamente la combinazione di master password + realm 
generano sempre le stesse credenziali, esempio:
 
gokey -p LaMiaSuperSegretaMasterPasswordCheNonDiroANessuno -r 
gmail.com
 
 
 
(Il programmino genera anche chiavi private)
 
Per le credenziali condivise non abbiamo ancora deciso che cosa usare al 
posto di LastPass...

 gokey -p LaMiaSuperSegretaMasterPasswordCheNonDiroANessuno -r 
gmail.com
 
 
carino, ma se per un qualsiasi motivo vuoi cambiare la password di un 
realm?


semplice, il realm puó essere qualsiasi stringa mnemonica, quindi per 
cambiare la password di un real basta.... aggiungere un qualsiasi 
prefisso o suffisso tale da renderlo differente dall'originale
 
esempio
 
gokey .... -r 
gmail.com:2
 
 
come ho detto il realm é la componente non segreta quindi se c'é il 
rischio di dimenticarselo non é un grosso problema salvarlo in chiaro da 
qualche parte - se ci si pensa bene, nelle credenziali lo username non é 
quasi mai un segreto
 
io ad esempio ho lo stesso username e diversa password per un sito di 
test e di produzione
 
quindi uso
 
gokey .. -r sito.test
gokey .. -r sito.produzione