佢哋加密咗本日記，但係將目錄公開咗：LastPass 兩次被黑嘅教訓

2022年12月22號，聖誕節前三日——啱啱好係掩埋壞消息嘅日子。LastPass 更新咗佢喺當年8月第一次披露嘅一單安全事件。

8月嗰個版本好令人安心。有人溜咗入公司嘅開發環境，順手拎走咗源代碼同啲技術資料。LastPass 話，冇客戶資料俾人郁過，冇密碼庫俾人掂過。

12月嗰個版本，讀落完全唔同。入侵者用8月攞到嘅嘢又返嚟一次——今次，佢哋拷走咗客戶密碼庫嘅備份。唔係電郵名單，唔係帳單數據庫，係密碼庫：呢個產品存在嘅全部理由，就係永遠唔落入人哋手。

第一次入侵係踩點

2022年8月，攻擊者攞到咗一名開發者嘅帳號憑證，喺 LastPass 嘅開發環境入面留咗幾日，帶走咗部分源代碼同專有技術資料。LastPass 請咗外部調查團隊，控制咗入侵，仲同客戶講：你哋嘅資料同密碼庫冇俾人存取過。就當時睇到嘅，呢句係真——但呢個根本唔係重點。

揸住第一次入侵得嚟嘅技術信息，攻擊者釘上咗另一名員工，攞到憑證，入咗一間第三方雲端儲存服務——LastPass 嘅備份就擺喺嗰度。由嗰度，客戶帳號資料同密碼庫備份俾人拷走。

8月嗰次從來唔係正經嘢，係踩點。12月先係動手。

呢個套路我哋見得夠多，多到事後可以幫佢改個名：第一次事故好少係災難本身，佢係為第二次畫嘅地圖。

內容加密咗，目錄係明文

先幫密碼學講句公道說話：LastPass 密碼庫入面嘅敏感欄位——用戶名、密碼、安全筆記、表單資料——用嘅係 256位 AES 加密，密鑰由每個用戶嘅主密碼派生。LastPass 自己都讀唔到。呢部分設計係硬淨嘅，就公開報道睇，加密本身冇俾人攻破。

但密碼庫備份入面仲有一批資料，從來就冇加密過：每個登入條目跟住嘅網站 URL，全部明文咁躺喺度。隔籬仲有客戶姓名、電郵、帳單地址、電話，同埋用戶登入嗰陣嘅 IP 地址。

諗下呢個意味住乜。攻擊者攞到兩樣嘢：上咗鎖嘅箱，同——分開存放、完全明文嘅——一份「箱入面裝咗乜、歸邊個」嘅完整索引。一個人嘅密碼庫 URL，就係佢嘅人生地圖：佢嘅銀行，佢嘅電郵，佢嘅券商同交易所，佢公司嘅系統，佢診所嘅病人入口，仲有嗰啲佢唔願多講嘅帳號。唔使開任何一個密碼庫，呢份地圖本身就值錢：佢精確話俾釣魚佬知，呢個人用邊啲機構，一封似樣嘅釣魚電郵應該冒充邊個。LastPass 自己都警告客戶：準備好迎接呢類釣魚。

佢哋加密咗本日記，但係將目錄印出嚟貼咗喺牆上面。

一條鑰匙，同無限嘅時間

加密部分嘅安全，全繫喺主密碼上面——設計就係噉。12月事件改變嘅係估密碼嘅戰場：俾人偷走咗嘅備份，而家係個離線問題。個拷貝瞓喺攻擊者自己嘅硬碟上面，冇登入頁面數失敗次數，冇試錯十次就鎖死，冇告警電郵寄去邊個信箱。每一次估都免費、無聲、唔趕時間——永遠。

又長又獨一無二嘅主密碼，加埋新版帳號，密碼庫確實難啃，數學上企得住。但又短又順手、仲周圍重用嘅主密碼，就係另一回事喇——變成算力同耐性嘅問題。而且帳號設定千差萬別：舊帳號嘅密鑰派生強度，成日遠低過公司後來嘅推薦標準。兩個用同一個密碼嘅客戶，防護等級可能差天共地，自己仲無從知道。

於是成個檔案館嘅安全，落咗喺客戶睇唔到嘅兩樣嘢上面：一句記喺腦入面嘅說話有幾硬淨，同埋一間開發環境當年已經俾人入過一次嘅公司嘅維運紀律。好大嘅分量，壓喺一個單點上面。而單點，正正係系統冧低嘅地方。

真正屬於你嘅，係「擺邊」嘅決定

塞內卡啲信入面反覆都係一句：有啲嘢由得你，有啲嘢由唔得你，心安嚟自識得分。你管唔到供應商嘅開發環境，審查唔到佢哋嘅員工，審計唔到佢哋嘅儲存服務商，亦都改唔到佢哋揀喺12月披露。只要你最敏感嘅嘢住喺人哋嘅產品入面，佢嘅安全就有一部分繫喺人哋嘅本事上面——你永遠見唔到嘅人，喺你永遠睇唔到嘅系統上面。

你管得到嘅，係更底嗰個決定：乜嘢擺邊。密碼管理器係日常登入嘅好工具，日常生活嘅大部分都承受得起呢個風險。但登入下面嗰個檔案館——日記、相、打死都唔可以俾人睇嘅記錄——唔使係某間公司嘅某個功能，唔使瞓喺佢哋嘅備份儲存入面複製嚟複製去，等佢哋嘅「衰十二月」。

一塊你自己加密嘅硬碟，喺供應商嘅雲入面冇拷貝，冇明文嘅索引。佢得一個位置，一枚封條，同埋一條淨係存在你腦入面嘅鑰匙。我哋呢幾年學到：人哋講嘅「安全」，從來唔係「大公司再落力啲嘅承諾」，而係「我同嗰啲唔見得嘅嘢之間，企嘅陌生人越少越好」。

Everkeep 為你自己擁有、自己加密嘅硬碟提供離線保管。我哋編號、貼封條、影相、存放——兩份拷貝，兩個地點——我哋永遠睇唔到入面。每個裝置槽位 199 美元/年。