LastPass 是否容易受到 FireSheep 攻击？

Question

假设我在星巴克并想使用LastPass ...... FireSheep用户能够窃取密码/cookie/会话吗？

Answer 1

一般来说，没有。除了他们的服务器之外，您的密码以加密状态存储在您的本地机器上，当您将密码发送到他们的服务器时，它会在离开您的机器之前使用 256 位 AES（即非常好的）加密进行加密。同样，当您从他们的服务器获取密码时，它处于加密状态，只有您的主密码才能对其进行解密。如果您登录没有 SSL（即 HTTPS）的网站，则该特定密码容易受到攻击，但您的主密码将是安全的。您确实为主密码使用了不同的密码，对吗？

此外，当登录到他们的网站时，您将处于安全会话中，这意味着您和 LastPass 之间传递的任何信息（理论上）都是安全的。

由于 LastPass 不会以明文形式存储任何密码（尤其是您的主密码，我认为它们根本不会存储），因此唯一的漏洞是有人设法获得了他们的加密盐和至少一个主密码密码。这减少了破解另一个主密码所需的时间（请记住，他们可能还没有登录），从宇宙的平方到几百万年，假设加密密钥仅由主密码和盐生成，对于 LastPass 我不相信是这样，我相当肯定它更难。

总而言之，如果您登录的站点已经不安全，并且您的主密码仍然安全，您只需担心。如果没有 LastPass，您可能会使用与其他所有站点相同的蹩脚密码，这意味着没有它，您的整体安全性会降低。

Answer 2

从 LastPass 的技术概述来看，所有数据都是在本地加密和解密的，它们的数据传输是使用 AES-256 加密的。FireSheep使用中间人攻击，这使得未加密的连接容易受到攻击。

解决此问题的唯一有效方法是完整的端到端加密，在网络上称为 HTTPS 或 SSL。

因此，为了回答您的问题，如果您登录的网站不使用 HTTPS，FireSheep 用户将能够窃取您的凭据。LastPass 本身并不脆弱。