LastPass ist ein webbasierter Passwortmanager-Online-Dienst. Er wird seit 2008 im Freemium-Modell angeboten. Er bietet ein Webinterface, zahlreiche Browser-Add-ons und eigene Apps für Android, iOS und Windows Phone.
| LastPass
| |
|---|---|
Screenshot (niederländisch) | |
| Basisdaten
| |
| Entwickler | GoTo |
| Erscheinungsjahr | 22. August 2008 |
| Aktuelle Version | 4.69.0 (8. April 2021) |
| Betriebssystem | plattformunabhängig |
| Programmiersprache | JavaScript |
| Kategorie | Passwortmanager |
| Lizenz | kommerziell |
| deutschsprachig | ja |
| www.lastpass.com |
Die Verschlüsselung geschieht mit dem AES-Algorithmus und 256 Bit Länge sowie PBKDF2 SHA-256 und Salted Hashes. Die Verschlüsselung der Passwörter und aller im Passwort Vault gespeicherten Daten geschieht rein lokal. Der Hersteller kennt das Masterpasswort nicht.
LastPass wurde im Oktober 2015 für 125 Millionen US-Dollar von dem Softwareunternehmen LogMeIn übernommen. Der neue Eigentümer plante, den Passwortmanager verstärkt auch für Unternehmen anzubieten.
Im Dezember 2019 gab LogMeIn per Pressemitteilung bekannt, an Tochtergesellschaften von Francisco Partners verkauft zu werden. Der Verkauf wurde im März 2020 von den Aktionären genehmigt und im August 2020 durchgeführt.
Sicherheitsprobleme Bearbeiten
Als Passwortmanager wurde LastPass mehrmals Ziel von Angriffen, so im Mai 2011, Juni 2015 und Juli 2016. Im Juni 2015 konnten die Angreifer E-Mail-Adressen, Passworterinnerungen und Authentifizierungshashes, die für das Einloggen in LastPass benötigt werden, entwenden, diese entsprechen jedoch nicht den Passwörtern und können nur mit sehr hohem Aufwand zurückgerechnet werden. LastPass empfahl die Änderung des Masterpassworts.
Im Juli 2016 entdeckte die Sicherheitsfirma Detectify eine Lücke im LastPass-Browser-Add-on. Diese wurde bereits vor der öffentlichen Bekanntmachung geschlossen.
Im März 2017 fand Tavis Ormandy von Googles Project Zero mehrere Lücken in der Version 4.1.43. Diese wurde vom Hersteller mit der Version 4.1.44 auch umgehend geschlossen.
Im April 2017 wurde bekannt, dass LastPass in der Implementierung der Zwei-Faktor-Authentifizierung (2FA) elementare Fehler begangen hatte. Damit war es möglich, den zweiten Faktor abzufangen, wenn auch nicht das Masterpasswort. Die Schwachstelle wurde nach eigenen Angaben geschlossen.
Laut Angaben des Online-Nachrichtenportals Golem.de vom Februar 2019 speichert LastPass die Passwörter im Arbeitsspeicher: „Die Passwortdatenbank wird ebenfalls komplett im RAM vorgehalten – und verbleibt dort, auch wenn Lastpass gesperrt wurde.“
Ende 2021 meldete das Online-Magazin BleepingComputer in einem Artikel, dass LastPass Nutzer darüber gewarnt wurden, dass ihr Masterpasswort kompromittiert wurde.
LastPass veröffentlichte im August 2022 einen Blogartikel, in dem die Firma angab, „ungewöhnliche Netzwerkaktivitäten“ festgestellt zu haben. Hier wurde auf interne Entwicklungsumgebungen zugegriffen und Teile des Quellcodes sowie andere interne Technologien kopiert. Laut eigenen Angaben sind keine Kundendaten betroffenen gewesen.
Ende November 2022 veröffentlichte die Firma einen Blogartikel zu einem weiteren Sicherheitsvorfall. Es wurden „ungewöhnliche Aktivitäten“ bei einem Drittanbieter für Storage-Server festgestellt. Laut LastPass wurden für den unberechtigten Zugriff Erkenntnisse aus den Daten des Sicherheitsvorfalls von wenigen Monaten zuvor verwendet. Es seien diverse Kundendaten betroffen, nicht jedoch die verschlüsselten Passwörter. In einer späteren Stellungnahme im Dezember 2022 gab LastPass zu, dass sowohl unverschlüsselte (etwa URLs) wie auch verschlüsselte Daten der Kunden wie E-Mail-Adressen und Passwörter abgegriffen worden seien (Passwort-Safes). Die Sicherheit der verschlüsselten Daten hinge dabei nur von der Stärke des Masterpasswortes ab, das die Kunden vergeben hatten.
Kritik Bearbeiten
In der Android-Version von LastPass werden mehrere Programmbibliotheken verwendet, die zur Fehlerdiagnose aber auch zum Tracking von Nutzerverhalten verwendet werden können. Teilweise werden dabei personenbezogene Daten an Dritte übermittelt. Neben diesen Datenschutzproblemen wird kritisiert, dass die verwendeten Programmbibliotheken grundsätzlich ein Einfallstor für Angreifer darstellen können.
Siehe auch Bearbeiten
Einzelnachweise Bearbeiten
- ↑ Release Notes. LogMeIn, abgerufen am 21. Mai 2021 (englisch).
- Abos und Preise. LogMeIn, abgerufen am 30. Januar 2021.
- ↑ Funktionsweise. LogMeIn, abgerufen am 30. Januar 2021.
- Lastpass Support. LogMeIn, abgerufen am 30. Januar 2021.
- ↑ Eike Kühl: Einbruch beim Passwortmanager. Zeit Online, 16. Juni 2015, abgerufen am 30. Januar 2021.
- Andreas Donath: Passwort-Manager Lastpass für 125 Millionen US-Dollar verkauft. Golem.de, 12. Oktober 2015, abgerufen am 30. Januar 2021.
- (Nicht mehr online verfügbar.) LogMeIn, 12. Dezember 2019, archiviert vom am 26. Januar 2021; abgerufen am 30. Januar 2021 (englisch). Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.
- Francisco Partners and Evergreen Coast Capital Complete Acquisition of LogMeIn. GlobeNewswire, 31. August 2020, abgerufen am 30. Januar 2021.
- Mathias Karlsson: How I made LastPass give me all your passwords. Detectify Labs, 27. Juli 2016, abgerufen am 30. Januar 2021 (englisch).
- Ronald Eikenberg: Zero-Day-Lücke in Passwort-Manager LastPass. heise online, 27. März 2017, abgerufen am 30. Januar 2021.
- Jan Schüßler: Weitere Lücke in LastPass geschlossen, neue Version verfügbar. heise online, 4. Januar 2017, abgerufen am 30. Januar 2021.
- Dennis Schirrmacher: Passwortmanager Lastpass patzt bei Zwei-Faktor-Authentifizierung. heise online, 24. April 2017, abgerufen am 30. Januar 2021.
- Moritz Tremmel: Passwortmanager hinterlassen Passwörter im Arbeitsspeicher. Golem.de, 21. Februar 2019, abgerufen am 30. Januar 2021.
- LastPass users warned their master passwords are compromised. Abgerufen am 25. August 2022 (amerikanisches Englisch).
- Karim Toubba: Notice of Recent Security Incident. 25. August 2022, abgerufen am 25. August 2022.
- Karim Toubba: Notice of Recent Security Incident. 30. November 2022, abgerufen am 1. Dezember 2022.
- Karim Toubba: Notice of Recent Security Incident. 22. Dezember 2022, abgerufen am 23. Dezember 2022.
- heise online: Passwortmanager: LastPass-Hacker haben Zugriff auf Kennworttresore von Kunden. Abgerufen am 23. Dezember 2022.
- Moritz Tremmel: Lastpass, nimm die Tracker aus dem Passwortmanager! Golem.de, 23. Februar 2021, abgerufen am 27. Februar 2021.