L'administrador de contrasenyes LastPass, va llançar una actualització la setmana passada per corregir un error de seguretat que exposa les credencials ingressades en un lloc visitat anteriorment. L'error va ser descobert el mes passat per un investigador de seguretat.
LastPass va resoldre el problema informat en la versió 4.33.0 de l'12 de setembre. Encara LastPass indica que l'actualització s'ha d'aplicar automàticament, és recomanable per als usuaris que s'assegurin d'estar utilitzant la versió més recent de l'extensió de el servei de navegador, especialment si utilitzeu un navegador que permet desactivar les actualitzacions.
En una publicació de bloc, Ferenc Kun de l'equip de seguretat de LastPass va dir:
«El nostre equip recentment va investigar i va solucionar un error que afectava algunes extensions de LastPass. Un investigador de seguretat en el seu informe va revelar un conjunt limitat de circumstàncies en extensions de navegador específiques que podrien permetre a un atacant crear un escenari de desviament de clics.
«Per explotar aquest error, un usuari de LastPass ha de realitzar una sèrie d'accions, que inclouen completar una contrasenya amb la icona de LastPass, després visitar un lloc compromès o maliciós i finalment haver de fer clic diverses vegades en la pàgina.
Aquesta gesta pot donar com a resultat que les últimes credencials de el lloc que LastPass completi s'exposin. Treballem ràpidament en el desenvolupament d'un pegat i verifiquem que la solució estava completa amb Tavis «.
L'informe d'error d'l'investigador de seguretat explica els passos necessaris per reproduir l'error. A causa de que l'error es basa en executar només codi JavaScript maliciós, sense cap altra interacció de l'usuari, l'error es considera perillós i potencialment explotable.
Els hackers podrien atraure els usuaris a pàgines malicioses i aprofitar aquesta vulnerabilitat per extreure les credencials ingressades pels usuaris en els llocs visitats anteriorment.
Ja que no és tan difícil com sembla, perquè un atacant podria amagar fàcilment un enllaç maliciós darrere d'una URL fer que els usuaris vegin l'enllaç i extreure les credencials de la URL d'un lloc visitat anteriorment.
A més, encara que qualsevol exposició potencial a causa de l'error es limita a navegadors específics (Chrome i Opera), hem implementat, com a mesura de precaució en tots els navegadors
Tot i aquest error, utilitzar un administrador de contrasenyes és una excel·lent manera de protegir la seguretat en línia.
L'existència d'l'error destaca el fet que els administradors de contrasenyes, com qualsevol servei en línia, encara poden estar exposats a problemes de seguretat. A l'facilitar la creació i l'emmagatzematge d'una contrasenya única per a cada compte, els administradors de contrasenyes proporcionen una alternativa crítica per reutilitzar contrasenyes.
Els administradors de contrasenyes també faciliten l'ús de contrasenyes segures perquè els usuaris no necessiten recordar-les.
Fins i tot si la violació del lloc web filtra les contrasenyes de text sense format, l'administrador de contrasenyes s'assegura que només un compte estigui compromesa (en cas que les contrasenyes de l'dels usuaris són específics de cada lloc on tenen un compte).
El desavantatge dels administradors de contrasenyes és que si fallen, els resultats poden ser greus. No és estrany que algunes persones utilitzin administradors de contrasenya per emmagatzemar moltes contrasenyes, algunes per a comptes bancaris, altres per comptes de correu electrònic, etc.
Per tant, és una bona idea afegir autenticació de dos factors a tots els llocs que els admeten, així com utilitzar contrasenyes segures úniques que mai reutilitzarà entre serveis.
¿Com instal·lar LastPass en Ubuntu i derivats?
Per als que estiguin interessats en poder instal·lar la darrera versió d'aquest gestor de contrasenyes en el sistema, podran fer-ho seguint les instruccions que compartim a continuació.
El primer que farem és obrir una terminal (Ho poden fer amb la combinació de tecles Ctrl + Alt + T) i sobre ella executarem la següent comanda per descarregar l'última versió de LastPass:
wget https://download.cloud.lastpass.com/linux/lplinux.tar.bz2
Ja descarregada, ara anem a descomprimir el paquet amb:
tar xjvf lplinux.tar.bz2
Accedim a directori creat i executem l'instal·lador amb:
cd lplinux && ./install_lastpass.sh
Jo abans feia servir LastPass però des que vaig descobrir Bitwarden que és programari lliure i disponible en linux amb Firefox o Chrome i en android amb la seva pròpia aplicació, cosa que LastPass no, ja no ho canvio per res 🙂