Tavis Ormandy, člen týmu u Googlu, který se věnuje vyhledávání chyb, minulý týden zjistil, že LastPass pro Firefox je možné zmást natolik, že vydá hesla pro určitou službu, aniž by uživatel na této službě aktuálně byl. Stačilo k tomu dostat uživatele na připravené webové stránky a požádat LastPass o automatické vyplnění hesla.
Detaily Ormandyho zjištění už jsou známy a dle očekávání jde o zneužití toho, jakým způsobem se LastPass vsunuje do stránek (hlavně do vstupních prvků). Podstatné na nové chybě je, že velmi podobná chyba byla objevena již před rokem a týkala se rozšíření pro Chrome (a byla také již před rokem napravena).
LastPass v LastPass Security Updates uvádí, že opravena byla i čerstvě objevená chyba, a pokud používáte LastPass 4.0+, tak by už problém neměl existovat. Případná ruční instalace opravené verze je možná z lastpass.com/lastpassffx
Připomeňme, že LastPass měl v minulosti už více bezpečnostních problémů (viz například LastPass byl děravý, v případě pochybností si raději změňte heslo), včetně úniku dat (Správce hesel LastPass hlásí únik z databáze, změňte si heslo). Konkurenční správci hesel na tom nebyli o moc lépe.
Jedna z dobrých možností, jak se dalo zabránit zneužití v tomto případě, by bylo vypnutí automatického vyplňování hesel – mírná komplikace pro uživatele, který by zadávání hesel z LastPass musel vyvolávat přes menu. Vedle toho stále platí, že pro důležité služby byste vždy měli používat dvoufaktorové ověření přihlášení.
ČLÁNKY DO MAILU