LastPass

Het afdoende authentiseren van gebruikers van informatiediensten is een grote uitdaging.
Vooral omdat hack-bots geduldig zijn en enkelvoudige bescherming (alleen met een wachtwoord) niet echt een grote uitdaging is om te trotseren. Nog daar gelaten de vaak kinderlijk simpele wachtwoorden en de problematiek van het vergeten van die enorme hoeveelheid aan wachtwoorden.

Wachtwoordmanagers kunnen helpen de kwaliteit van beveiliging te verhogen, maar introduceren tegelijk vaag grote additionele beveiligingslekken.

LastPass is professioneel vormgegeven en komt aan veel wensen t.a.v. wachtwoordbeheer tegemoet. Voor vele gebruikers en bedrijven een ware verlichting.
Het aantal door de uitbater van LastPass geclaimde gebruikers liegt er dan ook niet om. Opmerkelijk zijn de op de website geclaimde getuigenissen van gezaghebbende functionarissen van gerenommeerde bedrijven. Dat moet dan toch goed spul zijn ?

De geclaimde sterke encryptie geloven we wel. Minder verwachten we ook niet.
Op de website wordt echter ook geclaimd dat zelfs LogMeIn Inc (het bedrijf achter LastPass) geen toegang heeft tot de opgeslagen wachtwoorden (en gezien de tip van LastPass: overige zaken die u veilig wil opslaan). Er wordt evenwel niet uitgelegd hoe ze dat voor elkaar hebben gekregen.

Wij menen dan ook dat dit niet helemaal waar is. LastPass functioneert middels een ad-in voor uw browser. Deze ad-in is afkomstig van LastPass, en derhalve onder volledige controle van LastPass.
Het lijkt ons een koud kunstje voor LastPass om uw hoofdwachtwoord in onversleutelde vorm te achterhalen. Let wel: We zien geen indicatie dat dat praktijk is, maar onderkennen hier een mogelijkheid.

Ad-ins hebben defacto een hoge mate van toegang tot de browser. De mechanismen (Javascript) waarmee invulvelden in de gaten worden gehouden om mogelijk een passend wachtwoord in te vullen, kunnen ook aangewend worden om zo'n beetje alles wat u doet met uw browser te volgen.
Nogmaals: We stellen niet dat dit gebeurt, maar enkel dat de mogelijkheid er is.

Trekken we dit nog verder, dan zouden we moeten kijken naar de gevoeligheid voor hacks van het systeem. Er ligt hier een schat aan, voor de minder wetsgetrouwen, zeer bruikbare informatie. LastPass lijkt ons een onmiskenbaar interessante prooi voor hackers. Is hun bescherming daar tegen bestand? LastPass wil er niets over vertellen.

Veiligheids specialisten stellen: Als het kan, gebeurt het een keer.

Vertrouwd u alles wat u doet met uw browser, toe aan een bedrijf welke u, vanwege vestiging buiten de Europeesche Unie, nauwelijks kunt aanspreken op malversaties?

Wij menen dat LastPass een oplossing is met een beduidend hoger risico profiel dan van het aanvankelijke probleem.