LastPass war wohl auch nur wegen dem Unterhaltungswert dabei? Wer da vor 10 Jahren den Hinweis dass man das nicht benutzt nicht bekommen hat dem ist auch nicht mehr zu helfen.
Die Empfehlung: Auf einen Passwort-Manager verzichten? «Auf keinen Fall», sagt ETH-Forscher Scarlata. Passwort-Manager seien weiterhin die beste Möglichkeit, die eigene Sicherheit zu verbessern.
Zudem empfiehlt es sich, nicht nur auf Passwörter zu vertrauen, sondern sich zusätzlich mit Zwei-Faktor-Authentifizierung oder Passkeys abzusichern
Ich geh auf Syncthing + Keepass. Funktioniert für mich auf Handy + PC sehr gut, hab keine Lust meine Passwörter durchs Netz zu schleusen, in welcher Form auch immer.
Ughh ja das hatte ich schon ganz verdrängt. Gab auch einen blog Eintrag bei Kuketz dazu. Schwierige Sache, aber das repo wurde wohl von einem anderen Maintainer übernommen. Zweifel bleibe natürlich...
Den Artikel habe ich schon bei den Angelsachsen verfolgt. Das Ganze ist etwas würzig, wenn man bedenkt, dass die Attacken auf einem Testserver stattgefunden haben, der sozusagen kompromittiert war. Somit sagen die Schwachstellen nichts aus über die aktuellen Server von Bitwarden und Co.
Stimmt, nur sollte eine Passwort-Manager auch bei kompromittiertem Server sicher sein, da der Vault Lokal verschlüsselt wird.
Ein paar der Schwachstellen sind auch nur bei seltenen (ungewöhnlichen) Nutzerunteraktionen relevant. Ich nutze auf jeden Fall weiterhin selfhosted Bitwarden.
Bei einem kompromittiertem Client hat man natürlich immer Pech, egal ob lokales KeePass oder Bitwarden.
10 Comments
Peter_Arbeitslos@feddit.org · 16 pts · 170d
tl;dr: Verschiedene Attacken auf Bitwarden, LastPass und Dashlane, insbesondere online und ohne direktes Brechen der Verschlüsselung.
aard@kyu.de · 6 pts · 170d
LastPass war wohl auch nur wegen dem Unterhaltungswert dabei? Wer da vor 10 Jahren den Hinweis dass man das nicht benutzt nicht bekommen hat dem ist auch nicht mehr zu helfen.
30p87@feddit.org · 3 pts · 169d
Na, solange meine .kbdx noch sicher ist...
ranslite@pie.dasneuland.de · 16 pts · 170d
gigachad@piefed.social · 9 pts · 169d
Ich geh auf Syncthing + Keepass. Funktioniert für mich auf Handy + PC sehr gut, hab keine Lust meine Passwörter durchs Netz zu schleusen, in welcher Form auch immer.
Calming_Pants@feddit.org · 2 pts · 169d
Nutze ich auch genau so, allerdings mit einem uralt build von Snycthing für Android, da es letztes Jahr ein paar Unregelmäßigleiten gegeben hat
gigachad@piefed.social · 2 pts · 169d
Ughh ja das hatte ich schon ganz verdrängt. Gab auch einen blog Eintrag bei Kuketz dazu. Schwierige Sache, aber das repo wurde wohl von einem anderen Maintainer übernommen. Zweifel bleibe natürlich...
maxmalrichtig@discuss.tchncs.de · 5 pts · 169d
Das ist genau der Grund warum ich bis jetzt immer noch Keepass + private Cloud benutze. Mir war das ganze "Passwortserver" Gedöns immer etwas suspekt.
Aber hauptsächlich war mir "offline & Datenredundanz" die wichtigeren Treiber für die Entscheidung.
Samsy@lemmy.ml · 4 pts · 170d
Den Artikel habe ich schon bei den Angelsachsen verfolgt. Das Ganze ist etwas würzig, wenn man bedenkt, dass die Attacken auf einem Testserver stattgefunden haben, der sozusagen kompromittiert war. Somit sagen die Schwachstellen nichts aus über die aktuellen Server von Bitwarden und Co.
Chewy7324@discuss.tchncs.de · 2 pts · 169d
Stimmt, nur sollte eine Passwort-Manager auch bei kompromittiertem Server sicher sein, da der Vault Lokal verschlüsselt wird.
Ein paar der Schwachstellen sind auch nur bei seltenen (ungewöhnlichen) Nutzerunteraktionen relevant. Ich nutze auf jeden Fall weiterhin selfhosted Bitwarden.
Bei einem kompromittiertem Client hat man natürlich immer Pech, egal ob lokales KeePass oder Bitwarden.