Gold_Rock_¹²³
.............................
Thú nuôi : 
Posts : 559
Points : 99627
Thanked : 21
 Gia nhập: : 16/05/2011
Tuổi : 30
Đến từ : Tân Hiệp City
 |  Tiêu đề: Phỏng vấn giám đốc LastPass về sự cố tuần trước 5/18/2011, 08:20 | |
|  | |  |  | Dịch vụ quản lí mật khẩu trực tuyến LastPass đã bị tin tặc "viếng thăm" tuần trước. TTCN xin lược dịch buổi phỏng vấn của giám đốc LastPass với tạp chí PC World.LastPass
là dịch vụ quản lí mật khẩu trực tuyến, giúp bạn đồng bộ dữ liệu trong
bất cứ trình duyệt nào và trên mọi máy tính. Đây là dịch vụ miễn phí,
bạn chỉ phải trả tiền nếu dùng thêm dịch vụ này trên điện thoại, với giá
khá khiêm tốn: 1 USD/tháng.Trong tuần qua LastPass nhận thấy
dường như tin tặc đã "ghé thăm" máy chủ của hãng. Tổng giám đốc, ông Joe
Siegrist đã có một buổi trao đổi về vấn đề này.Chính xác thì điều gì làm ông nghĩ rằng có cái gì đó không ổn có thể xảy ra với Lastpass?
Chúng tôi hay xem log truy cập. Bất cứ khi nào chúng tôi phát hiện ra dấu hiệu lạ, chúng tôi đều muốn biết nguyên nhân.Trong
sự cố tuần trước, chúng tôi không biết nguyên do. Bởi vì nó xảy ra đúng
vào thời điểm mà đáng lẽ không ai còn làm việc và cũng không nhiều dữ
liệu được truyền đi giữa các máy tính đó. Vì thế chúng tôi lo lắng và
quyết định đề phòng với trường hợp xấu nhất có thể xảy ra, cho dù chúng
tôi không thể tìm ra bằng chứng thuyết phục nào về việc Lastpass đã từng
gặp phải lỗi xấu.Ngay tại thời điểm này ông có biết loại dữ liệu nào có thể bị lấy cắp hoặc bị tấn công không?
Với
quy mô lưu chuyển dữ liệu như vậy, chúng tôi không nghĩ rằng có nhiều
dữ liệu bị đánh cắp. Nhưng nhiêu đó cũng đủ để lộ tên đăng nhập và mật
khẩu [được mã hoá] của người dùng. Với dữ liệu này, kẻ phá hoại có thể
bắt đầu thử nghiệm và tìm kiếm những mật khẩu yếu mà không cần truy cập
vào máy chủ.Chúng tôi biết những máy chủ nào bị ảnh hưởn vụ tấn công này, và chỉ có không quá vài trăm tài khoản bị trộm dữ liệu đã mã hoá.Hiện
tại, chúng tôi đang cố gắng xem xét những trường hợp xấu nhất có thể
xảy ra và các cách để làm giảm đến mức thấp nhất những rủi ro phát sinh.
Có phải đây chỉ là một lỗi kì lạ nào đó? Tất nhiên là có thể. Thế nhưng
trước đây chúng tôi chưa từng gặp bất kì lỗi nào như vậy, và chúng tôi
cũng đã theo dõi trong một thời gian dài.[You must be registered and logged in to see this link.]
Dữ liệu bị trộm có thể đem lại lợi ích gì cho những kẻ tấn công?
Với các thông tin
về email, salt, hàm băm của mật khẩu, tin tặc có thể thực hiện các phép
tính và kiểm tra xem một mật khẩu nào đó có chính xác không mà không
cần truy vấn vào máy chủ của LastPass.Mối nguy hiểm là một khi ai
đó đã thực hiện thành công quy trình đó, họ có thể thử nó rất nhanh
chóng, kiểm tra hàng nghìn mật khẩu mỗi giây. Nếu bạn có một mật khẩu
chủ đủ mạnh, rõ ràng là dữ liệu của bạn khó có thể bị tấn công. Nhưng
nếu mật khẩu của bạn đơn giản hay có trong từ điển, tin tặc có thể tìm
ra nó trong thời gian tương đối ngắn.Để cuộc
trao đổi được thẳng thắn hơn, cho phép tôi hỏi: liệu có khả năng những
tài khoản mà người dùng lưu trữ trong tài khoản LastPass có thể bị bẻ
khóa hay không?
Trong giai đoạn này tôi nghĩ rằng điều đó khó có
thể xảy ra. Nếu có thì cũng chỉ vài chục trong số nhiều triệu người sử
dụng gặp phải. Nhưng cũng khó để chúng tôi có thể chắc chắn 100% về điều
này.Dù vậy, cần biết rằng xác suất để một tài khoản (trong số vài trăm tài khoản bị lộ) có mật khẩu yếu là rất thấp.Nếu một người nào đó có một mật khẩu chủ mạnh thì theo ông, họ có lí do gì để lo lắng vào thời điểm này không?
Khôn.Giờ đây ông có lời khuyên gì dành cho những người sử dụng Lastpass?
Nếu
bạn có một mật khẩu chủ mạnh, bạn chẳng có lí do gì để phải lo lắng cả.
Nếu mật khẩu của bạn yếu, có thể có nhiều rủi ro hơn, nhưng rủi ró đó
là rất thấp so với toàn bộ dữ liệu đang được truyền đi. Nếu mật khẩu của
bạn yếu thì nên thay nó đi và kiểm tra lại các tài khoản quan trọng lưu
trong đó.Một vài người dùng thắc mắc tài
khoản của họ bị chặn, hoặc là mật khẩu lưu trong Lastpass bị mất khiến
họ không thể đăng nhập được. Vậy điều gì đã xảy ra và theo ông họ phải
làm gì?
Chúng tôi nghĩ rằng lí do nằm ở chỗ họ đang dùng một mật
khẩu mới trong khi những dữ liệu cũ trên máy tính là có từ trước khi
mật khẩu thay đổi. Theo chúng tôi thì họ nên đăng nhập lại hoặc xóa
cache đi bằng cách dùng plugin của Lastpass. Họ cũng có thể liên lạc với
chúng tôi nếu cần giúp đỡ.Ông có thể cho biết những biện pháp an ninh mạng nào đang được Lastpass sử dụng để thoát khỏi tình trạng này?
Khi
người dùng đăng nhập, chúng tôi kiểm tra họ vào từ một địa chỉ IP quen
thuộc, nếu không thì họ cần chứng minh rằng họ có thể đăng nhập vào địa
chỉ email của mình. Chúng tôi cho rằng với những biện pháp này, tin tặc
cho dù có mật khẩu cũng không thể làm gì được.Nhìn lại thì chúng
tôi có thể hơi làm lớn chuyện vấn đề này và chúng tôi cũng có thể quá
cảnh giác. Thông điệp của chúng tôi là nếu bạn có một mật khẩu đủ mạnh
thì chẳng có gì có thể lấy mất dữ liệu của bạn. Điều duy nhất khiến
chúng tôi lo lắng là những tài khoản dùng mật khẩu quá yếu. Đó cũng là
lí do chúng tôi phải thực hiện các biện pháp vừa nêu.Chúng tôi
cũng đã chặn nhiều dịch vụ trên các máy chủ liên quan, đồng thời vẫn
tiếp tục cuộc điều tra. Chúng tôi chưa phát hiện ra bất cứ điều gì bất
thường, nhưng vẫn phải cảnh giác.Ông sẽ nói gì với những người đang đọc bản tin này và đang cảm thấy mất niềm tin vào dịch vụ lưu trữ password của Lastpass?
Tôi
sẽ nói rằng khi bạn đã muốn lưu trữ dữ liệu vào một chỗ trung tâm, điều
đó đồng ngĩa với việc bạn chấp nhận rủi ro. Tuy nhiên nếu bạn xử lí tất
cả mọi thứ đúng cách bằng một password chủ mạnh, bạn thực sự đang bảo
vệ chính bạn. Chúng tôi nghĩ là dịch vụ của chúng tôi tốt hơn các dịch
vụ khác, thế nhưng khả năng bảo mật vẫn phụ thuộc vào bản thân người
dùng. | |  | |  | |
|
Đăng ký 
