菜单
2021年12月28日 | 通过

不寻常的尝试登录活动:LastPass如何保护你

作为我们安全承诺的一部分,我们定期监控我们的服务是否有实际的、可疑的、或企图恶意的或不寻常的活动。我们最近调查的报告显示,越来越多的用户收到了被屏蔽的访问邮件,这些邮件通常发送给从不同设备和地点登录的用户。

我们最初的发现使我们相信,这些警报是对试图“凭证填充”活动的响应而触发的,在这种活动中,恶意或不良行为者试图使用与其他非附属服务相关的第三方入侵获得的电子邮件地址和密码访问用户帐户(在这里是LastPass)。我们迅速展开了调查,目前还没有任何迹象表明,由于这些凭证填充企图,有任何LastPass帐户被未经授权的第三方入侵,我们也没有发现任何迹象表明,用户的LastPass凭证被恶意软件、恶意浏览器扩展或钓鱼活动窃取。

然而,出于充分的谨慎,我们继续调查,努力确定是什么原因导致自动安全警报电子邮件从我们的系统被触发。我们的调查发现,其中一些安全警报可能是被错误触发的,这些警报被发送给了LastPass用户的一个有限子集。因此,我们已经调整了我们的安全警报系统,这个问题已经解决。

这些警报的触发是由于LastPass持续努力保护其客户不受恶意行为和证书伪造企图的影响。同样重要的是要记住LastPass的零知识安全模型意味着LastPass在任何时候都不会存储、知道或访问用户的主密码。

LastPass如何帮助防范恶意活动

使用一个加密的密码管理器,并且只使用复杂的、唯一的密码(即,避免密码在不同的网页上重复使用)——由多因素身份验证支持——我们认为,是防止证书填充的理想形式之一。

LastPass在构建时考虑到了安全性,包括各种功能,包括登录失败通知、可信设备验证、帐户恢复等。

  • LastPass有适当的机制,可以在观察到帐号登录失败时向用户发送通知,比如这些最近报告中指出的登录失败。这些通知会提醒用户登录尝试被阻止或失败使用无效的电子邮件地址和主密码组合登录,否则用户必须通过电子邮件验证验证他们的设备是“可信的”。
  • 作为一项安全防范措施,LastPass会定期要求用户重新登录他们的账户,并重新验证他们信任的设备。如果系统提示您这样做,请用您的主密码登录您的LastPass帐户,并检查您的电子邮件,以重新验证您的信任设备。
  • 帐户恢复过程旨在防止未经授权或恶意访问。帐户恢复过程特别需要几个步骤,以确保恢复只能由授权用户/帐户所有者执行,包括要求帐户所有者通过电子邮件或文本接收一次性密码(OTP),在恢复登录流期间输入。一旦OTP收据已确认,用户必须另外执行恢复过程的浏览器或平台,用户曾成功登录通过LastPass浏览器扩展(例如,在Chrome,边缘,Safari等)。

LastPass还维护了许多行业标准的保护,从各种基础设施级别的解决方案,如多个web应用程序防火墙、DDoS保护解决方案和恶意请求过滤引擎,到各种应用程序级别的保护,我们以各种方式限制异常行为。操作和更新这些工具是我们保证用户安全的持续承诺。

创建一个强大的主密码

这是非常重要的,你使用一个强大的主密码,永远不要在任何其他网站或应用程序使用这个密码强密码是一个强大,独特,且足够随机的。对于你需要记住的主密码,我们建议使用一个密码短语,比如一个长句子或一系列单词。如果您或您的最终用户在任何地方重复使用您的LastPass主密码,我们建议立即更改您的LastPass主密码启用多因素身份验证为了你,也为了你终端用户的账户

虽然我们的0知识模式l的设计是为了确保您的数据保持安全和安全,对您来说,使用一个强大、独特的主密码同样重要,这不仅有助于保护您免受暴力攻击,而且应该有助于确保其他随机网站的漏洞不会影响您的LastPass帐户。虽然我们在您创建主密码时强制执行行业标准的最低密码(必须至少12个字符长,至少一个数字,至少一个小写字母和一个大写字母),LastPass用户应该使主密码尽可能强。具体来说,这意味着主密码应该是长且唯一的,并混合使用字符类型。

密码重复使用的危险

随着世界继续远程工作,花更多的时间在网上,观察到网络攻击和入侵网页和在线服务的普遍增加。不幸的是,随着大量数据泄露,数以百万计的用户名和密码可能会在互联网上公开,并容易被滥用。攻击者可能试图利用这些泄露信息的一种已知方式是,有系统地试图用从第三方非关联入侵获得的用户名和密码组合登录其他网站,例如LastPass。

重复使用密码是一种常见(和危险)的做法,通常会导致第三方入侵,产生额外的未经授权的帐户访问风险。虽然LastPass可以通过“密码生成器”和“保存和填充”功能生成安全、独特和复杂的密码来帮助用户避免这些危险,但我们也建议用户充分利用LastPass的所有安全特性,并使用各种工具、技术和实践来保护他们的帐户和用户名。

LastPass用户能做什么?

为了确保您的LastPass和其他在线账户不受恶意行为或黑客的攻击,我们建议用户遵循以下最佳在线做法:

  • 使用一个强大的,安全的主密码为您的LastPass帐户,你永远不会透露给任何人。
  • 从来没有在多个账户上重复使用密码,尤其是你的LastPass主密码。为每个网上帐户使用不同的、独特的、适当复杂的密码。
  • 我们强烈建议使用LastPass安全指示板识别保存在您的金库中重复使用密码的网站。LastPass可以帮助你用强大、独特和复杂的密码替换这些密码使用我们的密码生成器工具
  • 启用黑暗的网络监控在安全仪表板中。一旦启动,你就可以放心了,因为LastPass会为你的账户提供额外的监控。如果通过监控确定某个账户存在风险,您将在电子邮件和产品中收到警告。
  • 打开多因素身份验证用于LastPass和其他服务,如网上银行、电子邮件、社交媒体等。
  • 要意识到并认识到尝试的共同迹象钓鱼式攻击点击来自你不认识的人的链接,或者与你信任的联系人和公司的性格不符的链接。
  • 运行反病毒、端点保护和/或反恶意软件保护软件,并定期更新软件和反病毒签名。
  • 对你的关键数据进行定期备份(本地或云端)——备份有助于确保你在一个安全的地方有额外的数据副本(即,在失去对你定期访问的副本的访问权的情况下)。创建每日、每周、每两周或每两个月的备份是一个很好的“最佳实践”,以确保所有更改、添加和新文件都得到维护并保持最新。

讨论/阅读评论

留下一个回复

留下一个回复

加入我们的时事通讯

输入LastPass博客的更新邮件。bob体育不能提款