Revisão do LastPass | Críticas confiáveis

Veredito

LastPass é um gerenciador de senhas funcional com uma interface um pouco antiquada, mas uma grande violação de segurança em 2022 e um tratamento inadequado de divulgação tornam este setor robusto a ser evitado.

Introdução

LastPass é uma das opções de gerenciador de senhas mais populares e anteriormente classificado em uma posição muito alta em nossa lista de Melhor Gerenciador de Senhas.

No entanto, uma violação de segurança em agosto de 2022 colocou as suas credenciais de segurança sob escrutínio, especialmente as suas ações e comportamento nos meses seguintes à violação.

Como resultado, é difícil recomendar o LastPass no momento e será necessário muito esforço da empresa para restaurar a confiança em sua segurança.

Preços

Uma conta LastPass Premium custa £ 31,20 por ano, enquanto uma assinatura Famílias oferece seis contas, além de ferramentas administrativas que podem ajudá-lo a redefinir a senha mestra perdida de qualquer membro da família por £ 40,80 por ano.

O LastPass já foi famoso por seu nível gratuito muito eficiente, mas seus recursos foram gradualmente reduzidos em um esforço para fazer com que os usuários gratuitos comecem a pagar taxas de assinatura.

Os usuários gratuitos ainda podem armazenar um número ilimitado de senhas e acessá-las a partir de um número teoricamente ilimitado de dispositivos, mas todos esses dispositivos devem ser do mesmo tipo. Isso significa que os titulares de contas gratuitas precisam escolher entre acessar o LastPass por meio de extensões de navegador em um computador ou por meio de um de seus aplicativos móveis em um smartphone ou tablet.

Em uma conta gratuita, você também está limitado ao compartilhamento de senha apenas um para um (em vez de um para muitos), não pode definir um contato de acesso de emergência ou usar tokens Yubikey ou leitores de impressão digital e cartão inteligente como métodos 2FA . No entanto, os usuários gratuitos agora têm acesso ao painel de segurança do LastPass com seu serviço de avaliação de segurança de senha, bem como monitoramento de violação da dark web, que alerta se seu endereço de e-mail aparecer em alguma violação conhecida. O login sem senha no cofre usando o LastPass Authenticator está disponível gratuitamente, assim como para assinantes pagantes.

Os usuários pagantes também recebem 1 GB de anexo criptografado ou armazenamento seguro de arquivos e acesso ao suporte individual, mas o principal incentivo para se inscrever é definitivamente ter acesso às suas senhas no telefone e no navegador da web – ou vice-versa, se você estiver um usuário que prioriza dispositivos móveis.

Segurança

• Sofreu uma violação de segurança em agosto de 2022
• A comunicação do LatPass tem sido evasiva e vaga
• Publicou uma lista de correções e melhorias futuras

O LastPass foi o primeiro gerenciador de senhas a ganhar apelo em massa, mas isso o tornou um alvo propício para esforços de violação e exploração.

Isso resultou em uma violação em agosto de 2022, na qual um hacker acessou o ambiente de desenvolvimento da empresa, seguida por um incidente em novembro, no qual os dados da primeira violação foram usados ​​para obter um banco de dados de clientes não criptografado e cofres de senhas, em sua maioria criptografados. Embora o LastPass tenha anunciado prontamente as violações, ele subestimou enormemente ou minimizou significativamente a extensão da perda de dados em suas comunicações públicas.

Nomes de usuário, senhas e notas seguras neste conjunto de dados foram criptografados, mas o Lastpass não criptografa alguns dados no cofre, principalmente URLs. Os campos criptografados são protegidos com criptografia AES de 256 bits, usando uma chave derivada da senha mestra de cada usuário, e o LastPass nem mesmo tem as chaves para perder, pois opera com base em conhecimento zero, padrão do setor.

No entanto, ter os dados do cofre disponíveis, mesmo criptografados, significa que um malfeitor pode demorar para tentar quebrar senhas usando força bruta. Isso continua sendo uma tarefa virtualmente impossível se os dados forem criptografados com uma senha longa e forte, mas se uma senha mestra fraca for usada ou se a senha mestra for reutilizada e já tiver sido exposta em outra violação, todo o cofre do cliente poderá ser potencialmente destruído. comprometido.

Outros anúncios se seguiram em dezembro de 2022 e em janeiro, fevereiro e março de 2023, mas a linguagem usada nestes comunicações oficiais foi consistentemente evasivo e vago. Ser hackeado é mais ou menos uma consequência inevitável da execução de um serviço online.

O que é realmente revelador é como uma empresa lida com isso, desde a segurança preventiva para minimizar o impacto sobre os clientes até a comunicação honesta e aberta de uma violação e suas possíveis consequências. Lastpass não conseguiu impressionar em nenhuma dessas frentes.

Para seu crédito, o LastPass publicou um relatório relativamente claro lista de correções e melhorias contínuas e futuras em sua segurança, e tomou medidas como aumentar o número de iterações de criptografia aplicadas a senhas mestras de contas existentes mais antigas para criar efetivamente uma chave de criptografia nova e mais segura. No entanto, as atualizações desde março têm sido escassas.

A empresa aconselhou os clientes a alterar suas senhas mestras – e você definitivamente deveria fazer isso, caso não tenha feito isso desde agosto de 2022. No entanto, se você já for um usuário LastPass, recomendo mudar para um gerenciador de senhas alternativo – Bitwarden e 1Password são escolhas fortes, enquanto os bancos de dados KeePass são ótimos se você preferir assumir total responsabilidade pela segurança de seus próprios dados.

Características

• Excelente para compartilhamento de senha
• Ampla gama de opções de recuperação
• Não possui um aplicativo de desktop

O compartilhamento continua sendo o recurso mais forte do LastPass. Se você tiver apenas uma conta gratuita, poderá compartilhar cada senha com pelo menos outro usuário do LastPass. Assinantes pagantes podem compartilhar várias senhas com quantos outros usuários pagantes ou gratuitos do LastPass quiserem.

Embora o LastPass opere com base em conhecimento zero, o que significa que somente você sabe sua senha mestra, o serviço tem uma gama incomum de opções de recuperação caso você a esqueça. Uma senha de recuperação única é criada automaticamente por cada aplicativo ou extensão LastPass, tornando cada instalação uma rota de recuperação potencial, mesmo que não esteja mais conectado. Isso funciona em conjunto com o caminho de recuperação de conta SMS do LastPass.

Outras opções incluem recuperação de conta móvel, senhas de uso único geradas pelo usuário e reversão da senha mestra para a senha anterior dentro de 30 dias após a alteração da senha, com a ressalva de que todas as novas entradas do cofre desde a alteração serão excluídas.

O LastPass não possui um aplicativo de desktop adequado no momento em que a maioria de seus rivais adotou clientes independentes e multiplataforma para facilitar o preenchimento e o armazenamento de senhas em outros locais que não o navegador. Há um aplicativo da Windows Store mal avaliado, mas nem sequer é anunciado no próprio site do LastPass. A falta de um aplicativo independente é um inconveniente relativamente pequeno – tudo o que você precisa fazer é abrir o cofre da web no navegador e copiar as senhas de lá. No entanto, fica aquém da experiência tranquila de usar aplicativos dedicados, como os fornecidos pela Bitwarden ou KeePass.

Além de armazenar senhas e cartões de pagamento, o LastPass também pode armazenar e preencher automaticamente uma série de outras informações, incluindo dados bancários e endereços, além de fornecer um local para armazenar detalhes ou documentos de identidade, licenças de software e endereços.

A interface do Vault oculta alguns desses tipos de dados quando você cria uma entrada, ocultando conteúdo útil atrás de menus suspensos extras. Da mesma forma oculta está a capacidade de criar “identidades” separadas, que podem ser usadas para replicar o famoso modo Viagem do 1Password, já que apenas as senhas associadas à sua identidade atualmente selecionada estarão disponíveis em seu cofre ativo e, portanto, sujeitas à inspeção por funcionários de segurança. O recurso também permite manter as senhas de casa e do trabalho bem separadas umas das outras.

Seu comportamento de segurança padrão é claramente direcionado a usuários que valorizam a conveniência em vez da segurança ou que usam apenas um dispositivo de desktop pessoal e seguro ao qual ninguém mais tem acesso. Uma vez conectado, o navegador LastPass não tem um período de logout padrão definido para inatividade ou reinicialização do navegador, enquanto o período de logout padrão do LastPass Vault é de duas semanas. Da mesma forma, o LastPass alterou recentemente o comprimento padrão de suas senhas geradas de 12 para 16 caracteres, mais seguros.

Algumas dessas opções são frustrantemente inseguras, mas pelo menos você pode alterá-las por meio da gama altamente configurável de opções de logout do LastPass no Vault e na extensão do navegador. Existem algumas opções muito úteis, incluindo a exigência de uma senha mestra na tentativa de acessar identidades específicas no Vault ou em uma série de outros comportamentos, incluindo o preenchimento automático no navegador. Se você usar 2FA, dispositivos específicos poderão ser configurados como confiáveis, exigindo reautenticação multifatorial apenas a cada 30 dias.

O LastPass, no entanto, é muito inquieto com logins em um novo dispositivo ou em um novo local, exigindo por padrão que um e-mail seja confirmado antes de ser permitido – os usuários de VPN podem achar isso irritante, mas é bom receber um aviso, pelo menos .

O LastPass suporta logins sem senha, incluindo desbloqueio biométrico em navegadores e dispositivos móveis e desbloqueio por senha mestra via prompt do aplicativo móvel LastPass.

Embora as assinaturas empresariais da empresa ofereçam um autenticador TOTP integrado no próprio gerenciador de senhas (em oposição a um aplicativo LastPass Authenticator separado) desde 2020, isso ainda não foi implementado para usuários pessoais.

Últimas ofertas