压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

安全研究員Sean Cassidy最近發(fā)現(xiàn)有針對(duì)熱門密碼管理器LastPass的釣魚攻擊，而這件事也已經(jīng)引起了后者的注意。為了幫助減輕被釣魚的風(fēng)險(xiǎn)，LastPass決定增加額外的步驟。

Cassidy所說的“LostPass攻擊”，是指在瀏覽器上顯示的LastPass信息很容易偽造，在將受害者引誘至一個(gè)精心編造的惡意站點(diǎn)后，終端用戶很難分辨它們的真假。

如果用于已經(jīng)安裝了LastPass，那么攻擊者就會(huì)偽造一個(gè)登錄過期的通知，欺騙用戶需要重登陸。然后，它只需要靜靜等待用戶輸入登錄憑證。即使用戶設(shè)置了2步口令，也是如此照搬一遍。

在獲取了用戶的登錄憑證之后，攻擊者會(huì)竊取用戶的所有其它密碼，甚至在賬戶中安裝一個(gè)后門（通過緊急聯(lián)絡(luò)功能）、或者禁用兩步驗(yàn)證等。

在后續(xù)的文章中，LastPass表示已采取措施阻止惡意頁(yè)面將用戶踢出該密碼管理器的登陸狀態(tài)。

如此一來，即使惡意頁(yè)面忽悠用戶已登出，但在快速檢查瀏覽器工具欄上的LastPass擴(kuò)展之后，你就會(huì)知道自己其實(shí)并未登出。

此外，當(dāng)用戶忽略這一重要信息，并在非LastPass頁(yè)面上輸入主密碼的時(shí)候，管理器就會(huì)彈出一個(gè)警示。

最后，即使攻擊者仍然成功騙取到了LastPass的主密碼，也是很難繞過該密碼管理服務(wù)的電子郵件認(rèn)證系統(tǒng)的（在未知設(shè)備或地點(diǎn)登錄的時(shí)候，是需要用戶授權(quán)的）。