Comunicazione rivolta ai clienti LastPass.
Desidero condividere con voi un importante aggiornamento sull&rsquo;incidente di sicurezza di cui vi abbiamo dato comunicazione il 22 dicembre scorso.&nbsp;&nbsp;L&rsquo;indagine approfondita che avevamo avviato &egrave; finalmente giunta al termine e possiamo dichiarare di non aver rilevato ulteriori attivit&agrave; da parte degli autori della minaccia dal 26 ottobre 2022.
Nel corso dell&rsquo;indagine, abbiamo appreso molto di pi&ugrave; su quanto &egrave; accaduto e quest&rsquo;oggi desideriamo condividere ci&ograve; che abbiamo scoperto con tutti voi. In questo periodo, abbiamo inoltre dedicato una notevole quantit&agrave; di tempo ed energie a rafforzare la nostra protezione e a migliorare le operazioni di sicurezza nel loro complesso. Nell&rsquo;aggiornamento di oggi, vi esporr&ograve; gli interventi che abbiamo gi&agrave; attuato e tutte le altre misure che stiamo adottando per garantire la vostra sicurezza.
Il presente aggiornamento &egrave; strutturato come specificato di seguito:
<ul>
    <li><strong>Cosa &egrave; successo e come siamo intervenuti?</strong></li>
    <li><strong>Quali informazioni sono state violate?</strong></li>
    <li><strong>Quali azioni dovreste intraprendere per garantire protezione a voi stessi e alle vostre attivit&agrave;?</strong></li>
    <li><strong>Cosa abbiamo fatto per mettere in sicurezza LastPass&nbsp;</strong></li>
    <li><strong>Cosa potete aspettarvi da noi in futuro</strong></li>
</ul>
Abbiamo il privilegio di servire milioni di utenti e oltre 100.000 imprese, per cui desideriamo che tutti i nostri clienti abbiano le informazioni necessarie per rispondere alle proprie domande.&nbsp;Considerato il volume di informazioni che vi stiamo mettendo a disposizione, abbiamo suddiviso questo aggiornamento in sezioni che riassumono i vari argomenti e vi consentono di approfondirli ulteriormente con collegamenti dedicati.
Nel prestare ascolto ai commenti ricevuti, abbiamo preso in seria considerazione il vostro disappunto per non essere stati aggiornati con maggiore frequenza e completezza nel corso dell&rsquo;intero processo. La durata delle attivit&agrave; investigative ci ha costretto a trovare difficili compromessi su questo punto, ma comprendiamo l&rsquo;esperienza frustrante che le nostre comunicazioni iniziali hanno procurato alle imprese e ai consumatori che fanno affidamento sui nostri prodotti e ne siamo spiacenti. Con la condivisione di questi ulteriori dettagli e con l&rsquo;approccio che intendiamo adottare per il futuro, siamo determinati a fare ci&ograve; che &egrave; giusto per i nostri clienti e a rendere le nostre comunicazioni pi&ugrave; efficaci.
I lettori che preferiscono passare direttamente alle azioni consigliate per proteggere il proprio account o le rispettive attivit&agrave; sono pregati di consultare la pagina dedicata ai <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer">consumatori</a> o agli <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer">amministratori aziendali</a> di LastPass.
<h3>COSA &Egrave; SUCCESSO E COME SIAMO INTERVENUTI?</h3>
I due incidenti di violazione che abbiamo reso pubblici l&rsquo;anno scorso hanno preso di mira LastPass e la sua clientela. Entrambi gli episodi non sono ascrivibili ad alcun difetto del prodotto n&eacute; a un accesso non autorizzato ai sistemi di produzione di LastPass o a un loro uso improprio; piuttosto, l&rsquo;autore della minaccia ha sfruttato una vulnerabilit&agrave; presente in software di terze parti, ha eluso i controlli esistenti e infine &egrave; riuscito a violare gli ambienti di archiviazione dei backup e di sviluppo non di produzione.
Abbiamo condiviso dati tecnici, indicatori di compromissione (IOC) nonch&eacute; tattiche, tecniche e procedure (TTP) con gli organi preposti all&rsquo;applicazione della legge e le societ&agrave; da noi incaricate per svolgere attivit&agrave; forensi e raccogliere informazioni sulle minacce. Ciononostante, sia la motivazione della minaccia sia l&rsquo;identit&agrave; del suo autore restano tuttora sconosciute. Non &egrave; stato stabilito alcun contatto n&eacute; sono state avanzate richieste e non sono state nemmeno rilevate attivit&agrave; clandestine attendibili che indichino il tentativo di piazzare o vendere le informazioni ottenute durante gli incidenti in questione.
<strong>Riassunto del 1&deg; incidente</strong>: il portatile aziendale di un ingegnere del software &egrave; stato compromesso, consentendo a un autore di minacce di accedere illecitamente a un ambiente di sviluppo basato sul cloud e trafugare parti del codice sorgente, dati tecnici e alcune chiavi private di sistema pertinenti a LastPass. L&rsquo;ambiente di sviluppo non contiene dati dei clienti n&eacute; delle rispettive casseforti, i quali non sono dunque rimasti coinvolti nel furto in questione. &nbsp;Avevamo dichiarato concluso l&rsquo;incidente, ma in seguito abbiamo appreso che le informazioni trafugate in quella circostanza erano state usate per individuare gli obiettivi e dare inizio al secondo incidente di violazione.
In risposta al primo episodio, abbiamo mobilitato i nostri team di sicurezza interni e ci siamo avvalsi della collaborazione di Mandiant. &nbsp;Le misure di contenimento, eradicazione e ripristino attuate in questa occasione comprendevano:
<ul>
    <li>Sostituzione dell&rsquo;ambiente di sviluppo compromesso con uno di nuova creazione per assicurare un contenimento e un&rsquo;eradicazione totali</li>
    <li>Implementazione di ulteriori tecnologie di sicurezza nonch&eacute; di controlli aggiuntivi per rafforzare quelli gi&agrave; presenti</li>
    <li>Rotazione delle chiavi private non crittografate usate dai nostri team e di ogni certificato compromesso</li>
</ul>
Ulteriori dettagli sul primo incidente di violazione e sulle contromisure adottate sono disponibili in <a href="https://support.lastpass.com/help/incident-1-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">questa pagina</a>.
<strong>Riassunto del 2&deg; incidente</strong>: l&rsquo;autore della minaccia ha preso di mira un tecnico DevOps senior sfruttandone il software vulnerabile di terze parti per recapitare malware, eludere i controlli esistenti e accedere in modo illecito ai backup sul cloud. Le informazioni contenute nei backup violati comprendevano dati di configurazione di sistema, chiavi private di API e integrazioni nonch&eacute; dati con e senza crittografia dei clienti LastPass.
In risposta alla seconda violazione, abbiamo nuovamente mobilitato il nostro team di risposta agli incidenti di sicurezza unitamente alle risorse di Mandiant. Le misure di contenimento, eradicazione e ripristino adottate in questa occasione comprendevano:
<ul>
    <li>Analisi delle risorse di archiviazione cloud nonch&eacute; applicazione di criteri e controlli aggiuntivi</li>
    <li>Analisi e modifica degli attuali controlli di accesso privilegiato</li>
    <li>Rotazione delle chiavi private e dei certificati violati dall&rsquo;autore della minaccia</li>
</ul>
Ulteriori dettagli sul secondo incidente di violazione e sulle contromisure adottate sono disponibili in <a href="https://support.lastpass.com/help/incident-2-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">questa pagina</a>.
<h3>QUALI INFORMAZIONI SONO STATE VIOLATE?</h3>
Come precisato nei riassunti degli incidenti di violazione, l&rsquo;autore della minaccia ha trafugato sia dati di propriet&agrave; di LastPass sia informazioni dei clienti, tra cui:
<strong>Riassunto dei dati violati nel 1&deg; incidente:</strong>
<ul>
    <li>Archivi su richiesta di codice sorgente e di sviluppo basati sul cloud, il che includeva 14 archivi software su 200</li>
    <li>Script interni degli archivi, i quali contenevano certificati e chiavi private di LastPass</li>
    <li>Documentazione interna, ovvero informazioni tecniche che descrivevano il funzionamento dell&rsquo;ambiente di sviluppo</li>
</ul>
<strong>Riassunto dei dati violati nel 2&deg; incidente: </strong>
<ul>
    <li>Chiavi private DevOps con restrizioni utilizzate per ottenere l&rsquo;accesso al servizio di archiviazione cloud dei backup</li>
    <li>Ambiente di archiviazione cloud dei backup, che conteneva dati di configurazione, chiavi private di API nonch&eacute; di integrazioni terze, metadati dei clienti e backup di tutti i dati delle rispettive casseforti. Fatta eccezione per gli URL, i percorsi file del software LastPass installato su Mac o Windows e alcuni scenari d&rsquo;uso che prevedevano gli indirizzi e-mail, tutti i dati sensibili presenti nelle casseforti dei clienti erano crittografati secondo il nostro modello basato sul principio della conoscenza zero e possono essere decrittografati soltanto mediante una chiave di crittografia univoca derivata dalla password principale dei rispettivi utenti. Ricordiamo, infatti, che le password principali degli utenti finali rimangono ignote a LastPass, che non pu&ograve; memorizzarle n&eacute; gestirle in alcun modo, ragion per cui sono rimaste escluse dai dati che sono stati estrapolati.</li>
    <li>Backup della base dati relativa all&rsquo;MFA e alla federazione di LastPass, che conteneva copie dei valori iniziali di LastPass Authenticator, numeri telefonici usati per l&rsquo;opzione di riserva dell&rsquo;MFA (se abilitata) nonch&eacute; un componente del codice a conoscenza ripartita (la &ldquo;chiave&rdquo; K2) utilizzato per l&rsquo;accesso federato di LastPass (se abilitato). Questa base di dati risultava crittografata, ma la chiave di decrittografia conservata separatamente era inclusa nelle chiavi private trafugate dall&rsquo;autore della minaccia durante il secondo incidente di violazione.</li>
</ul>
Dettagli pi&ugrave; specifici sui dati dei clienti coinvolti nei due incidenti sono disponibili in <a href="https://support.lastpass.com/help/what-data-was-accessed" target="_blank" rel="noopener noreferrer">questa pagina</a>.
<h3>QUALI AZIONI DOVRESTE INTRAPRENDERE PER GARANTIRE PROTEZIONE A VOI STESSI E ALLE VOSTRE ATTIVIT&Agrave;?</h3>
Per fornire ai nostri clienti un&rsquo;assistenza pi&ugrave; mirata che li aiuti a rispondere efficacemente all&rsquo;incidente di sicurezza, abbiamo redatto due bollettini sulla sicurezza: uno per gli utenti finali dei piani Free, Premium o Families e l&rsquo;altro per gli utenti Business e Teams. Ciascun bollettino include informazioni finalizzate ad aiutare la clientela a proteggere il proprio account LastPass e far fronte a queste violazioni in un modo che riteniamo possa rispondere alle esigenze personali o all&rsquo;ambiente e al profilo di sicurezza delle rispettive organizzazioni.
<ul>
    <li><strong>Bollettino sulla sicurezza: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer"><strong>azioni consigliate</strong></a><strong> per i clienti di LastPass Free, Premium o Families. </strong>Questo bollettino guida i nostri clienti Free, Premium e Families nella verifica di alcune impostazioni importanti di LastPass concepite per aiutarli a proteggere il proprio account confermando l&rsquo;effettiva adozione delle migliori pratiche in materia.</li>
    <li><strong>Bollettino sulla sicurezza: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer"><strong>azioni consigliate</strong></a><strong> per gli amministratori aziendali di LastPass. </strong>Questo bollettino guida gli amministratori della nostra clientela Business e Teams nella valutazione dei rischi legati alla configurazione degli account LastPass e alle integrazioni di terzi, oltre a includere informazioni pertinenti sia ai clienti federati sia a quelli non federati.</li>
</ul>
Per eventuali domande in merito, il supporto tecnico e il nostro team del successo clienti sono a vostra completa disposizione.
<h3>COSA ABBIAMO FATTO PER METTERE IN SICUREZZA LASTPASS </h3>
A partire da agosto, abbiamo implementato ulteriori tecnologie di sicurezza di ultima generazione a livello di infrastruttura, data center e cloud per migliorare ulteriormente il nostro livello di sicurezza. Buona parte di questo intervento era gi&agrave; stato pianificato e avviato prima che si verificasse la violazione iniziale, ma &egrave; stato portato a termine in tempi record.
Abbiamo inoltre rimodulato le nostre priorit&agrave;, avviando cospicui investimenti nelle migliori prassi relative alla sicurezza, alla riservatezza e alle operazioni. Abbiamo eseguito un riesame completo delle nostre politiche di sicurezza e abbiamo applicato modifiche per limitare gli accessi e i privilegi, ove opportuno. Abbiamo condotto un&rsquo;analisi accurata dei controlli e delle configurazioni attuali, apportando le modifiche necessarie per migliorare la protezione degli ambienti esistenti. Abbiamo inoltre avviato la procedura per ampliare l&rsquo;utilizzo della crittografia nella nostra infrastruttura per backup e applicazioni. Non da ultimo, abbiamo iniziato a prendere in esame iniziative architetturali a pi&ugrave; lungo termine in grado di imprimere un nuovo impulso all&rsquo;evoluzione della piattaforma di LastPass nel suo complesso.
Se siete interessati a consultare l&rsquo;elenco degli interventi per la sicurezza, che include quelli gi&agrave; attuati e quelli in programma, potete visitare <a href="https://support.lastpass.com/help/what-have-we-done-to-ensure-lastpass-is-safe-to-use" target="_blank" rel="noopener noreferrer">questa pagina</a>.
<h3>COSA POTETE ASPETTARVI DA NOI IN FUTURO</h3>
<p>
Dal nostro post del 22 dicembre, ho avuto l&rsquo;opportunit&agrave; di confrontarmi con molti dei privati e delle aziende clienti della nostra societ&agrave;. Prendo atto dell&rsquo;esperienza frustrante che avete vissuto a causa della nostra incapacit&agrave; di comunicare con maggiore celerit&agrave;, chiarezza e completezza nel corso di questa intera vicenda. Non posso che accettare le vostre critiche e me ne assumo la piena responsabilit&agrave;. Questa esperienza ci ha insegnato molte cose e ci impegniamo a comunicare in maniera pi&ugrave; efficace in futuro. Spero accogliate l&rsquo;aggiornamento di oggi come una dimostrazione di questo impegno.
Poco pi&ugrave; di un anno fa, GoTo e i suoi investitori hanno annunciato che LastPass sarebbe diventata una societ&agrave; autonoma con un nuovo team esecutivo. Il nostro obiettivo &egrave; liberare tutto il potenziale della societ&agrave; e mantenere la promessa di sviluppare la migliore piattaforma aziendale per la gestione delle password. Verso la fine di aprile del 2022, ho accettato l&rsquo;incarico di amministratore delegato della societ&agrave;, raccogliendone il testimone per aiutarla nella sua corsa verso questo traguardo.
Con l&rsquo;obiettivo di imprimere un impulso alla crescita della societ&agrave; e mettere in atto una nuova strategia, nel corso degli ultimi otto mesi abbiamo assunto un gruppo di nuovi dirigenti che include leader e veterani del settore rinomati nel comparto della sicurezza e della tecnologia.
Nel quadro della prossima fase di crescita della societ&agrave;, abbiamo consolidato gli investimenti nella sicurezza che ruota intorno alle persone, ai processi e alle tecnologie con uno stanziamento di svariati milioni di dollari. Questi investimenti sostengono il nostro impegno a fare di LastPass una societ&agrave; leader nel settore della cibersicurezza che sia in grado di garantire protezione dagli attacchi futuri.
Vi siamo grati per la comprensione, la partecipazione e il supporto che ci continuate a dimostrare.
</p>
<p>
Karim Toubba</p>
<p>
Ad di LastPass</p>

Aggiornamento sull’incidente di sicurezza e azioni consigliate

Comunicazione rivolta ai clienti LastPass.
Desidero condividere con voi un importante aggiornamento sull&rsquo;incidente di sicurezza di cui vi abbiamo dato comunicazione il 22 dicembre scorso.&nbsp;&[..]

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more details. Thank you.</em></h4>
</div>
<h2><strong>Resoconto degli incidenti di sicurezza: 22 marzo 2017 (14:30)</strong></h2>
Desideriamo offrire alla nostra community un aggiornamento sulle vulnerabilità recentemente rivelate da Tavis Ormandy, ricercatore di sicurezza del team Project Zero di Google.

Considerata la lunghezza del post, potete leggere i punti salienti nel riepilogo oppure approfondire l’argomento con l’esauriente sintesi a seguire.
<h2><strong>Riepilogo</strong></h2>
<ul>
 	<li>Due vulnerabilità sono state individuate di recente dal ricercatore di sicurezza Tavis Ormandy.</li>
 	<li>A oggi, la nostra indagine non ha indicato alcuna perdita o compromissione dei dati sensibili degli utenti.</li>
 	<li>Abbiamo aggiornato tutte le estensioni con le patch necessarie e le stiamo rilasciando nuovamente agli utenti.</li>
 	<li>Le nostre app per iOS o Android non ne risultano compromesse.</li>
 	<li>Non è necessario modificare la master password.</li>
 	<li>Non è necessario modificare le credenziali di accesso ad alcun sito.</li>
 	<li>Verificare che siano in esecuzione le versioni più recenti.
<ul>
 	<li>Anche se la maggior parte degli utenti riceverà l’aggiornamento automatico, le versioni più recenti sono sempre disponibili all’indirizzo <a href="https://lastpass.com/download">com/download</a>.</li>
 	<li>Verificare la propria versione facendo clic su icona LastPass &gt; Più opzioni &gt; Informazioni su LastPass.
<ul>
 	<li>Firefox: 4.1.36.</li>
 	<li>Chrome: 4.1.43.82.</li>
 	<li>Edge: 4.1.30 (previa approvazione di Microsoft).</li>
 	<li>Opera: 4.1.28 (previa approvazione di Opera).</li>
</ul>
</li>
</ul>
</li>
</ul>
<h2><strong>Cos’è successo</strong></h2>
La scorsa settimana, un ricercatore del Project Zero di Google, Tavis Ormandy, ha indicato al nostro team <a href="https://twitter.com/taviso/status/843965519371812864">due</a> <a href="https://twitter.com/taviso/status/842205051082821632">vulnerabilità</a> che interessavano molte estensioni LastPass per browser, coinvolgendo sia gli utenti privati che quelli aziendali.

Per sfruttare le vulnerabilità rilevate, un pirata informatico sarebbe dovuto prima riuscire ad attirare un utente su un sito Web dannoso. Se ci fosse riuscito, Tavis ha dimostrato come avrebbe potuto effettuare chiamate alle API di LastPass, o, in taluni casi, eseguire codici arbitrari, spacciandosi per una parte attendibile. In questo modo, il pirata informatico sarebbe, in teoria, potuto entrare in possesso di informazioni sull’account LastPass dell’utente, come le credenziali di accesso.
<h2><strong>Bug di dirottamento dei messaggi nella versione 3.3.2 dell’estensione di LastPass per Firefox</strong></h2>
<strong>Cos’è stato segnalato:</strong>
A causa del processo di analisi degli URL nella versione 3.3.2 per Firefox, un sito Web dannoso avrebbe potuto ingannare l’estensione di LastPass spacciandosi per legittimo ed eseguire lo spoof delle credenziali di un utente.

Questo bug, <a href="https://blog.lastpass.com/2016/07/lastpass-security-updates.html/">comunicato al nostro team l’anno scorso</a>, è stato prontamente corretto nel ramo di sviluppo 4.x. Tuttavia, la correzione non è stata propagata alla versione tradizionale 3.3.x per Firefox, che sarà ufficialmente ritirata ad aprile.

<strong>Cosa c’è da sapere:</strong>
<ul>
 	<li>In un recente annuncio, precedente a questo resoconto, <a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/">abbiamo dichiarato</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> il ramo di sviluppo 3.x</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> per Firefox deprecato</a>.</li>
 	<li>Consigliamo vivamente di passare alla versione 4.1.36 dell’estensione per Firefox dal sito <a href="https://lastpass.com/download">com/download</a>. Gli utenti possono anche eseguire l’aggiornamento alla versione 3.3.4, anche se, come precedentemente indicato, il relativo ramo di sviluppo sarà deprecato nelle prossime settimane.</li>
</ul>
<h2><strong>Bug dei connettori di siti Web</strong></h2>
<strong>Cos’è stato segnalato:</strong>
Un <a href="https://twitter.com/taviso/status/843965519371812864">problema</a> nell’architettura di una funzione per l’onboarding dei consumatori ha colpito i client su cui viene impiegato tale codice (Chrome, Firefox ed Edge). Un sito Web dannoso avrebbe potuto ingannare LastPass spacciandosi per una parte attendibile e rubare le credenziali di accesso. Gli utenti che utilizzavano il componente binario di LastPass (meno del 10% della nostra base utenti) erano maggiormente soggetti agli exploit remoti se attirati su un sito Web dannoso.

Il bug è stato introdotto ad agosto del 2016, quando abbiamo rilasciato questa funzione sperimentale per l’onboarding degli utenti consumatori. Il codice, a ogni modo, è presente in tutti i client LastPass per Chrome, Firefox ed Edge.

Una volta individuata la vulnerabilità, il team di LastPass ha subito cessato il servizio interessato, mettendosi al lavoro per aggiornare tutti i client coinvolti.

Mentre lavoravamo alla nostra correzione lato client, Tavis <a href="https://twitter.com/taviso/status/844312124541186048">ha inviato un tweet</a> su un ulteriore problema, anche se è stato poi cancellato. Siccome ciò è stato causa di confusione riguardo al numero di problemi e allo stato delle relative risoluzioni, ci teniamo a precisare che si trattava del medesimo problema su due browser differenti.

<strong>Cosa c’è da sapere:</strong>
<ul>
 	<li>Abbiamo presentato degli aggiornamenti a tutti i client interessati per correggere definitivamente questa vulnerabilità, prima di un nuovo rilascio agli utenti.</li>
 	<li>Le versioni per Chrome e Firefox sono già pronte, mentre quelle per Edge e Opera sono in attesa di approvazione da parte dei rispettivi app store.</li>
 	<li>Come se non bastasse, abbiamo analizzato a fondo tutte le altre estensioni (compresi i nostri programmi di installazione) che fanno uso di questo codice.</li>
</ul>
<h2><strong>Cronologia completa (ora degli Stati Uniti orientali):</strong></h2>
<strong>Bug di dirottamento dei messaggi nella versione 3.3.2 dell’estensione di LastPass per Firefox</strong>
<ul>
 	<li>10 marzo: LastPass annuncia ufficialmente che le versioni 3.3.x per Firefox saranno deprecate.</li>
 	<li>15 marzo, 22:45: viene annunciato il bug di dirottamento dei messaggi nella versione 3.3.2 per Firefox.</li>
 	<li>15 marzo, 22:48: LastPass riceve i dettagli del bug che colpisce la versione 3.3.2 per Firefox e avvia un’indagine.</li>
 	<li>17 marzo, 8:43: LastPass presenta una patch a Mozilla con la versione 3.3.4 per Firefox.</li>
</ul>
<strong>Bug dei connettori di siti Web</strong>
<ul>
 	<li>20 marzo, 19:20: viene annunciato il bug dei connettori di siti Web nella versione 4.1.42 per Chrome.</li>
 	<li>20 marzo, 19:36: LastPass avvia un’indagine di sicurezza interfunzionale.</li>
 	<li>21 marzo, 00:15: LastPass interrompe il servizio problematico lato server.</li>
 	<li>21 marzo, 7:04: LastPass annuncia l’applicazione di una soluzione temporanea lato server, mentre procede a un’analisi approfondita del codice per una risoluzione definitiva dei problemi lato client.</li>
 	<li>22 marzo, 00:10: LastPass rilascia la versione 4.1.36 per Firefox contenente la correzione.</li>
 	<li>22 marzo, 12:07: LastPass rilascia la versione 4.1.43.82 per Chrome contenente la correzione.</li>
 	<li>22 marzo, 13:55: LastPass presenta la versione 4.1.30 per Edge per il rilascio.</li>
 	<li>22 marzo, 14:49: LastPass rilascia la versione 4.1.28 per Opera contenente la correzione su <a href="https://lastpass.com/download">com/download</a>, nell’attesa dell’approvazione al rilascio da parte dell’app store.</li>
</ul>
<strong>Promemoria sulle migliori pratiche in materia di sicurezza personale</strong>

Anche se sappiamo bene che gli utenti LastPass si impegnano ad attuare le migliori pratiche per la sicurezza, questi rimangono ottimi promemoria su come proteggere i propri dispositivi e tenere al sicuro i propri dati:
<ul>
 	<li>Fate attenzione agli attacchi di phishing. Non fate clic sui link ricevuti da persone che non conoscete o che sembrano insoliti se provengono dai contatti e dalle aziende di vostra fiducia.</li>
 	<li>Usate una password diversa e unica per ogni account online.</li>
 	<li>Usate una master password complessa e sicura per il vostro account LastPass, e non rivelatela mai a nessuno, nemmeno a noi.</li>
 	<li>Attivate l'autenticazione a due fattori per LastPass e altri servizi come la vostra banca, le e-mail, Twitter, Facebook ecc.</li>
 	<li>Mantenete puliti i dispositivi eseguendo un antivirus e mantenendo aggiornato il software.</li>
</ul>
<h2><strong>Uno sguardo al futuro</strong></h2>
Per prevenire simili problemi in futuro, stiamo rivedendo e rafforzando i nostri attuali processi di revisione del codice e verifica della sicurezza, specialmente in relazione alle funzioni nuove e sperimentali.

Va da sé che la sicurezza è fondamentale per ciò che facciamo. Apprezziamo molto il lavoro di Tavis, dei ricercatori del Project Zero e degli altri hacker etici, e ci adoperiamo per la massima trasparenza nel cercare di porre rimedio alle problematiche sollevate. Se questo modello di sicurezza svolge correttamente la sua funzione di divulgazione responsabile dei bug, LastPass non può che uscirne potenziato e ne traiamo vantaggio tutti. Accogliamo con favore contributi da tutti i ricercatori tramite il nostro programma di bug bounty all’indirizzo <a href="https://bugcrowd.com/lastpass">https://bugcrowd.com/lastpass</a>.

———-

<strong>22 marzo 2017 (11:12)</strong>

Nel corso dell’ultima settimana, abbiamo collaborato con il ricercatore di sicurezza di Google, Tavis Ormandy, per indagare e correggere le vulnerabilità rilevate. Ci scusiamo per il ritardo con cui ci pronunciamo sull’argomento, ma stiamo conducendo un’indagine approfondita su queste segnalazioni al fine di fornirvi quanti più dettagli possibile. Nell’attesa di un’imminente analisi retrospettiva, ci teniamo a condividere questa breve sintesi con la nostra community.

<strong>Cos’è successo</strong>
La notte del 20 marzo, abbiamo ricevuto la segnalazione di un problema nella versione 4.1.42.80 della nostra estensione per Chrome. Abbiamo esaminato subito la vicenda, rilasciando una soluzione temporanea lato server nel giro di un paio d’ore. L’exploit interessava tutti i client LastPass, Chrome, Firefox ed Edge, in cui era stata rilasciata una funzione sperimentale per l’onboarding degli utenti.

Il giorno dopo, il 21, è arrivata un’altra segnalazione relativa alla versione 4.1.35a per Firefox. A dire il vero, questa vulnerabilità è in gran parte identica a quella succitata, anche se interessa un browser diverso. Sebbene questo problema sarebbe stato risolto comunque dalla correzione definitiva successiva alla soluzione temporanea, la segnalazione in questione è arrivata prima che questa fosse rilasciata. Intorno alle ore 00:15 (fuso orario della costa orientale), infatti, abbiamo presentato l’aggiornamento 4.1.36a per Firefox, proprio in risposta alla suddetta segnalazione.

Stiamo mettendo a disposizione di tutti gli utenti gli aggiornamenti con le correzioni, la maggior parte dei quali dovrebbe installarsi automaticamente.

Anche se non vi è alcuna indicazione di sfruttamento reale delle vulnerabilità rilevate, stiamo attualmente conducendo un’indagine approfondita per appurarlo. Forniremo presto una sintesi degli eventi più esauriente, indicando alla nostra community ciò che c’è da sapere. Al momento, non è necessario che gli utenti modifichino alcuna password.
<div></div>

Importanti aggiornamenti di sicurezza per i nostri utenti

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more[..]

“Cloudbleed” vi preoccupa? La Prova di sicurezza di LastPass adesso identifica i principali siti Web coinvolti che potrebbero aver risentito del recente bug di sicurezza di Cloudflare e che sono inclusi nella top 10.000 del ranking di Alexa. LastPass evidenzia questi siti, consentendovi di priorizzare la modifica delle relative password. Iniziate a proteggere le vostre password, avviando la Prova di sicurezza dal pannello sinistro della vostra cassaforte LastPass o dal link seguente:
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a>  </span></p>
<p ><strong>Cos’è successo a Cloudflare?</strong></p>
Cloudflare, un servizio che ottimizza la sicurezza e le prestazioni di oltre 5,5 milioni di siti Web, <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">la scorsa settimana ha avvertito i propri clienti</a> di un bug che potrebbe aver fatto trapelare dati sensibili degli utenti, quali password, cookie e token di autenticazione. Per informazioni più dettagliate, <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">vi rimandiamo al post sul loro blog</a>.

<strong>Dovreste preoccuparvi?</strong>

La portata del bug è stata enorme, a causa dell’alto numero di siti Web supportati da Cloudflare, tra cui troviamo esempi del calibro di Medium, Namecheap e Change.org. Secondo quanto dichiarato da Cloudflare, comunque, l’impatto reale del bug in sé è relativamente modesto, per cui il rischio di divulgazione dei dati ne risulta piuttosto basso. Tuttavia, anche se il bug adesso è stato corretto, i dati trapelavano dallo scorso settembre, ragion per cui potrebbero essere stati memorizzati nella cache dei motori di ricerca, rimanendo accessibili a chiunque.

Poiché la nostra community è sempre attenta alla sicurezza e non è possibile avere la certezza che <em>i vostri</em> dati specifici non siano stati compromessi, vi raccomandiamo di cogliere questa opportunità per eccedere nella cautela, cambiando tutte le password contrassegnate come potenzialmente vulnerabili.

<strong>Con LastPass, cambiare password è più facile</strong>

La Prova di sicurezza di LastPass adesso include i principali siti Web interessati da “Cloudbleed” e inclusi nella top 10.000 del ranking di Alexa. Se usate l’autenticazione a due fattori sui siti coinvolti, vi raccomandiamo di disattivarla e riattivarla.

La Prova di sicurezza individua le credenziali deboli, riciclate, vecchie e potenzialmente vulnerabili presenti nella vostra cassaforte. Inoltre, adesso vi sarà segnalata anche la presenza, nella vostra cassaforte, di qualsiasi sito Web contenuto nella lista dei principali siti interessati dal bug di Cloudflare.

LastPass semplifica la procedura di modifica delle password, aiutandovi a generarne di nuove, lunghe e casuali in un batter d’occhio, prima di salvarle nella vostra cassaforte, ricordandole al prossimo accesso. LastPass sincronizza automaticamente dietro le quinte ogni modifica alle password condivise, in modo da mantenere sempre tutti aggiornati.

Grazie alla funzione Cambiamento automatico delle password, LastPass può anche modificare molte password al posto vostro: gli basta un clic per aggiornarle automaticamente in un centinaio di siti Web. Vi invitiamo ad approfittare di questa funzione, perché su alcuni dei siti interessati dal bug di Cloudflare quest’opzione potrebbe essere disponibile.
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>

Prova di sicurezza di LastPass: adesso con avvisi per i siti interessati dal bug di Cloudflare

“Cloudbleed” vi preoccupa? La Prova di sicurezza di LastPass adesso identifica i principali siti Web coinvolti che potrebbero aver risentito del recente bug di sicurezza di Cloudflare e che sono inclu[..]

L’unica costante nell’ambito della sicurezza è il cambiamento. Con l’evolversi della tecnologia, si intensifica il nostro impegno proattivo per assicurare la sicurezza dei vostri dati. Oggi siamo qui per rispondere ai dubbi e alle preoccupazioni che potrebbero nascere tra gli utenti LastPass della nostra community di fronte alla notizia di due avvenimenti recenti.

<b>Cloudflare</b>

<strong>In sintesi: LastPass non fa uso di Cloudflare e non risente del </strong><a href="https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/"><strong>loro recente incidente di sicurezza</strong></a><strong>.</strong>

Cos’è successo: giovedì 23 febbraio, Cloudflare, un’azienda SaaS che aiuta a ottimizzare la sicurezza e le prestazioni dei siti Web, ha avvertito i propri clienti dell’esistenza di una vulnerabilità recentemente risolta e inizialmente rivelata dal ricercatore di Google Tavis Ormandy. Anche se la vulnerabilità potrebbe aver fatto trapelare una serie di dati sensibili, ci teniamo a confermare che LastPass non ne risente perché non fa uso di Cloudflare.

Tuttavia, gli utenti LastPass potrebbero disporre di account su siti Web che, <em>invece</em>, ne fanno uso. Per questo motivo, se i fornitori dei servizi che usate hanno reso noto di essere stati interessati dal bug, vi consigliamo di aggiornare le vostre password. Anche se il rischio cui sono esposti questi account è minimo, è meglio essere prudenti.

<strong>Attacco di collisione SHA-1</strong>

<strong>In sintesi: gli utenti LastPass possono dormire sogni tranquilli sapendo che il nostro sito Web e la funzione crittografica che utilizziamo sono sicuri. Per creare gli hash delle password, LastPass ricorre alle funzioni di hash iterative che producono un digest di almeno 256 bit o superiore. I certificati HTTPS utilizzano almeno l’SHA-256 o un algoritmo superiore per il digest.</strong> <strong>Come ha osservato il team di sicurezza di Google, l’algoritmo SHA-256 è una funzione crittografica di hash più sicura.</strong>

Cos’è successo: di recente, il team di sicurezza di Google <a href="https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html?m=1">ha divulgato</a> il primo attacco pratico noto contro l’SHA-1. L’SHA-1 sta per Secure Hash Algorithm 1 ed è una funzione crittografica che risale al 1995. La funzione di hash non è altro che una funzione unidirezionale, cioè che non può essere sottoposta a ingegneria inversa, volta a nascondere e archiviare i dati. Va quindi oltre la semplice crittografia. L’SHA-1 viene ampiamente impiegato a protezione dei software, per impedire la manomissione dei relativi aggiornamenti e garantire connessioni sicure tra i siti Web e i clienti che li utilizzano. Tuttavia, la vulnerabilità di questo algoritmo agli attacchi teorici è nota quantomeno dal 2005, ragion per cui, negli ultimi anni, Google ha chiesto agli sviluppatori di passare ad altri algoritmi.

Il nuovo rapporto, pubblicato giovedì 23 febbraio, mostra come i ricercatori di sicurezza siano riusciti a realizzare il primo attacco concreto di collisione contro la funzione di hash SHA-1. Ciò significa che due file completamente diversi (in questo caso, PDF) sono stati usati per generare la medesima firma SHA-1, cosa che non dovrebbe succedere, poiché ognuno dovrebbe generarne una propria, altrimenti un file contraffatto potrebbe essere spacciato per il file originale e sicuro.

Come abbiamo già detto, fortunatamente, LastPass genera hash di autenticazione con la funzione PBKDF2 implementata con l’algoritmo SHA-256, anziché l’SHA-1. Anche la connessione al nostro sito Web, LastPass.com, è sicura, in quanto il nostro certificato HTTPS usa l’SHA-256 invece dell’SHA-1.

Per una sicurezza totale, stiamo rimuovendo l’uso dell’SHA-1 anche da altre aree del nostro prodotto, come la firma dei file binari. Anche se il rischio in quell’ambito è estremamente ridotto, il nostro impegno a rimuovere l’SHA-1 procede ora a un ritmo che si è intensificato alla luce del rapporto sull’attacco di collisione.

Come sempre, ci impegniamo a mantenere la nostra community aggiornata su ogni nuovo sviluppo in merito alla questione.

Grazie,

Il team di LastPass

Due bollettini sulla sicurezza: l’attacco di collisione SHA-1 e il caso Cloudflare

L’unica costante nell’ambito della sicurezza è il cambiamento. Con l’evolversi della tecnologia, si intensifica il nostro impegno proattivo per assicurare la sicurezza dei vostri dati. Oggi siamo qui [..]

Siamo fieri di annunciare che LastPass ha ufficialmente ottenuto il report di certificazione SOC 2. In parole povere, una terza parte, in questo caso RSM US LLP, ha sottoposto le nostre pratiche di sicurezza e di protezione dei dati a un rigoroso controllo finalizzato a garantire che soddisfiamo determinati criteri. E l'abbiamo superato!

Perché SOC 2 è tanto importante? Il controllo SOC 2 è un esame dettagliato dei controlli e dei processi in atto, allo scopo di garantire che i nostri prodotti e sistemi sono sicuri e affidabili. Ciò include l'adeguata riservatezza dei dati gestiti dai nostri sistemi, e la disponibilità di tali sistemi. Ma non è tutto, ogni anno saremo soggetti a revisione annuale per garantire il mantenimento della conformità SOC 2.

Il completamento del processo SOC 2 è solo un altro modo in cui dimostriamo il nostro impegno nei confronti di sicurezza e privacy. Sappiamo che questa certificazione è particolarmente significativa per le 25.000 aziende che usano LastPass Enterprise per proteggere le password e tenere sotto controllo l'autenticazione dei dipendenti. Si tratta infatti di uno standard di riferimento per le aziende di software, ampiamente riconosciuto dalle aziende statunitensi di ogni settore. E noi siamo fieri di averla ottenuta.

La sicurezza e la privacy sono sempre fondamentali per quello che facciamo qui in LastPass. Con l'evoluzione del nostro mondo digitale, noi continuiamo a investire in sicurezza, per aiutare i nostri utenti a proteggere quello che per loro conta di più. Ci auguriamo che l'ottenimento della certificazione SOC 2 sia un'ulteriore riprova della nostra dedizione dei confronti della sicurezza, e che rafforzi la vostra fiducia nel nostro team e nel nostro servizio. Continuiamo a lavorare duramente per offrirvi il miglior gestore di password disponibile, sia a casa che al lavoro.

LastPass Achieves SOC 2!

Siamo fieri di annunciare che LastPass ha ufficialmente ottenuto il report di certificazione SOC 2. In parole povere, una terza parte, in questo caso RSM US LLP, ha sottoposto le nostre pratiche di si[..]

È ufficiale: il 2016 è l’«anno della reimpostazione delle password». Proprio quando credevamo che le notizie sulle grandi violazioni dei dati non potessero peggiorare ulteriormente, <a href="http://www.reuters.com/article/us-yahoo-cyber-idUSKCN11S16P">di recente è stato reso noto</a> che una violazione ha interessato oltre <em>mezzo miliardo</em> di account Yahoo nel 2014. Purtroppo, siamo qui per dire una cosa: cambiare la vostra password Yahoo adesso non è più sufficiente.

Proviamo a guardare la violazione di Yahoo in prospettiva: è come se Facebook affermasse che i dati degli account di <em>metà dei suoi utenti</em> sono stati rubati. Con ogni probabilità, questa sarà ricordata come la più grande violazione della sicurezza informatica della storia.

Come se non fosse già abbastanza preoccupante, la violazione di Yahoo segue l’onda di tutte le <a href="http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6">altre massicce violazioni</a> di quest’anno: gli attacchi a <a href="https://www.theguardian.com/technology/2016/aug/31/dropbox-hack-passwords-68m-data-breach">Dropbox</a>, <a href="http://motherboard.vice.com/read/another-day-another-hack-117-million-linkedin-emails-and-password">LinkedIn</a> e <a href="http://www.pcmag.com/news/344876/myspace-breach-reportedly-affects-360m-records">MySpace</a> hanno colpito centinaia di milioni di utenti.

Spaventoso, non è vero? Certamente. Ma per quanto il danno possa sembrare enorme, il pericolo non finisce qui. Quando questi smisurati elenchi pieni di nomi utente e password trapelano online, è un ricco banchetto per i pirati informatici che intendono violare gli account degli utenti su altri siti potenzialmente più lucrativi. Tutto ciò che devono fare è utilizzare le stesse credenziali per provare ad accedere ad altri siti Web famosi: se ci riescono, hanno gli account in pugno.

Questo significa che chiunque<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/"> abbia commesso l’errore di usare la stessa password</a> su più di un sito Web adesso potrebbe essere preso di mira. Grazie ai <a href="http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-out-of-your-passwords/">supercomputer esistenti al giorno d’oggi</a>, provare a trovare una corrispondenza a quelle credenziali è un gioco da ragazzi per questi aggressori informatici. D’altra parte, siccome sono ancora tanti gli utenti che riciclano le password, per loro ne vale davvero la pena. <strong>Dunque, adesso non sono soltanto le vostre password Yahoo o Dropbox a essere compromesse: lo è ogni singolo account Web per il quale avete scelto una password simile o uguale.</strong>

Cambiare la vostra password Yahoo, purtroppo, non è più sufficiente. La vostra protezione richiede uno sforzo maggiore. Vi ritrovate in tutte le seguenti descrizioni?
<ul>
 	<li>Usate un gestore di password come LastPass.</li>
 	<li>Su siti Web e app, non usate MAI la stessa password.</li>
 	<li>Avete aggiornato tutte le password nell'arco dell'ultimo anno, <strong>e</strong></li>
 	<li>Avete cambiato la password Yahoo in una più complessa e casuale.</li>
</ul>
Se la risposta è sì, siete i re delle password. Altrimenti, ecco cosa dovremmo fare tutti per riprenderci il controllo della nostra sicurezza online:
<h2><strong>Usate un gestore di password.</strong></h2>
Se usate già LastPass, allora complimenti, state andando alla grande e potete saltare al prossimo punto. Ma se non usate alcun gestore di password, è arrivato il momento di <a href="https://lastpass.com/">registrarvi</a>. Per la maggior parte di noi, creare password complesse per ogni singolo account, ricordarsele sempre tutte e mantenerle ben organizzate rappresenta uno sforzo immane. Un gestore di password ovvia a questo e ad altri problemi, tenendole costantemente a portata di mano. Come se non bastasse, le protegge con i più avanzati algoritmi di crittografia. Non vi resta che <a href="https://lastpass.com/download">registrarvi subito</a>, e aggiungere tutte le password alla vostra cassaforte. È anche possibile importare le password salvate sul vostro browser preferito.
<h2><strong>Fate la Prova di sicurezza.</strong></h2>
A seguire, vi mostreremo come lasciare che sia davvero il vostro gestore di password a lavorare per voi. Se avete usato LastPass per un po’, allora sapete già quanto tempo e fatica vi faccia risparmiare nella gestione delle password. Me per impiegare veramente il vostro gestore di password per l’ottimizzazione della vostra sicurezza, dovete usarlo per creare una password unica e complessa per ogni vostro account. E il modo migliore per controllare le vostre password è di avviare <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">la Prova di sicurezza di LastPass</a>. Non soltanto vi informa su quante password avete nella cassaforte, ma vi mostra anche quali sono deboli, vecchie, riciclate, oltre a quali tra i siti Web che usate sono stati compromessi. Ecco perché è importante farlo prima di modificare la vostra password Yahoo: sapere su quali altri siti Web avete usato la stessa password Yahoo, vi consente anche di priorizzare la modifica di quelle password.
<h2><strong>Adesso, procedete a cambiare la vostra password Yahoo.</strong></h2>
Effettuate l’accesso al vostro account Yahoo, e usate il generatore di password di LastPass per creare una nuova password. Infine, salvatela su LastPass e sul vostro account Yahoo, e avete finito. Creare password di 20 caratteri non potrebbe essere più semplice.
<h2><strong>Non vi resta che cambiare tutte le altre password.</strong></h2>
<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/">In seguito a ogni nuova violazione</a>, noi consumatori ci affrettiamo a modificare le nostre password, con un gran dispendio di tempo e fatica. Fortunatamente, dopo aver controllato con la Prova di sicurezza di LastPass quali password avete riutilizzato, LastPass vi può aiutare a semplificare questo processo in vari modi. Ad esempio, può cambiare automaticamente le password su molti siti Web grazie al <a href="https://helpdesk.lastpass.com/generating-a-password/#h2">Cambiamento automatico delle password</a>. Scegliete questa opzione, se disponibile, e LastPass cambierà le password lavorando in background. Su tutti gli altri siti Web, usate il generatore di password di LastPass per creare la password più complessa che potete, e salvate le modifiche nella vostra cassaforte LastPass e sul sito.
<h2><strong>Non dimenticatevi delle domande di sicurezza.</strong></h2>
Molti siti Web richiedono di aggiungere delle risposte a speciali domande di sicurezza, con l’intento di fornire un livello di protezione aggiuntiva al vostro account. Sfortunatamente, queste sono praticamente inutili ai fini della sicurezza, sia perché i dati non sono crittografati, sia perché spesso basta qualche clic per trovare facilmente le risposte online. Perciò, usate il generatore di password per creare delle risposte fasulle alle domande di sicurezza. Salvate le risposte sotto forma di “Note” nella voce del sito all’interno della vostra cassaforte, in modo tale che il cognome da nubile di vostra madre assomigli a qualcosa tipo: sPEcTOpeRoseNctuLAte.

In definitiva, non dimenticate che la cosa migliore da fare subito per contrastare i criminali informatici dopo violazioni importanti quale quella di Yahoo è di non riutilizzare mai una password, e di crearne sempre di complesse e uniche per ogni sito Web o app che usate. Una volta seguiti i punti che vi abbiamo illustrato, sarete molto più preparati quando, e non “se”, si verificherà la prossima violazione a un famoso sito Web. Dovrete cambiare soltanto una password, evitando di sprecare tempo a preoccuparvi della potenziale compromissione dei vostri altri account online. Agite subito, e assicuratevi di migliorare la protezione delle vostre password in tutti gli account.

È arrivata l’ora di cambiare tutte le password

È ufficiale: il 2016 è l’«anno della reimpostazione delle password». Proprio quando credevamo che le notizie sulle grandi violazioni dei dati non potessero peggiorare ulteriormente, <a href="http://ww[..]

Come avrete già sentito più volte nelle ultime settimane, molti siti importanti, come <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">LinkedIn</a> e <a href="https://www.wired.com/2016/05/hack-brief-old-myspace-account-just-came-back-haunt/">MySpace</a>, hanno recentemente subito fughe di dati e incidenti di sicurezza. Purtroppo, con fughe di dati di questa entità, milioni di nomi utente e password sono ora a rischio di abuso da parte di chiunque. E il modo più semplice per gli attaccanti di utilizzare tali credenziali consiste nel cercare sistematicamente di accedere ad altri siti web con le stesse combinazioni di nome utente e password.

Per l'elevata frequenza con cui le persone riutilizzano le password, gli attaccanti possono ottenere rapidamente accesso agli account su altri siti web, in quello che è conosciuto come un "attacco di riutilizzo delle password". Anche se gli altri siti web non hanno avuto problemi di sicurezza, i loro utenti sono ora a rischio in quanto hanno utilizzato le stesse password su più siti web. Siamo orgogliosi di offrire uno dei gestori di password più popolari del mercato, ma ciò non significa che il nostro servizio sia immune da questi tentativi. E poiché il riutilizzo delle password è una pratica molto comune (anche se pericolosa), facciamo tutto il possibile per proteggere i nostri utenti, anche se questo significa proteggerli da loro stessi.

Per questo motivo il nostro team di esperti in sicurezza controlla costantemente il web alla ricerca di nomi utente e password trapelati in seguito all'attacco ad altri siti web. Ogni volta che veniamo a conoscenza di nuove fughe di dati, ci procuriamo immediatamente gli elenchi di nomi utente e password trapelati e li confrontiamo con la nostra base utenti, per vedere se corrispondono agli account LastPass. Se viene individuata una corrispondenza, disattiviamo immediatamente l'account per proteggere il vault dell'utente. Questa è una cosa che il team di LastPass fa da anni per proteggere proattivamente i nostri utenti.
<h2><strong>Quali misure abbiamo adottato?</strong></h2>
Nel caso del recente <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">incidente di LinkedIn</a>, la violazione dei dati stessa si è verificata alcuni anni or sono, ma l'elenco di nomi utente e password è trapelato online solo ora. In risposta, abbiamo disattivato tutti gli account degli utenti LastPass che corrispondevano alle credenziali trapelate. Per chiarire, <em>non vi sono state violazioni né problemi di sicurezza con LastPass</em>, la nostra è stata semplicemente una misura proattiva per proteggere gli utenti che hanno riutilizzato le loro password su altri siti web violati.
<h2><strong>LastPass ha la mia master password?</strong></h2>
No, LastPass non ha le master password degli utenti. Quando le password trapelano da altri siti web, LastPass esegue su tali dati degli script che simulano un tentativo di accesso. Lo script esegue l'hash PBKDF2 standard che LastPass utilizza ad ogni accesso da parte degli utenti, e questo ci consente di sapere che la password inserita è corretta. Confrontiamo quindi i risultati dello script con gli hash delle password memorizzati nel nostro database. Se gli hash delle password corrispondono, sappiamo che la password è stata riutilizzata nell'account LastPass dell'utente e pertanto disattiviamo tale account.
<h2><strong>Cosa possono fare gli utenti LastPass?</strong></h2>
Se il vostro account è stato disattivato, vi verrà richiesto di accedere da una postazione affidabile per verificare e riattivare l'account. Per riattivare l'account:
<ol>
 	<li>Accedete tramite il vault su web <a href="https://lastpass.com/">https://lastpass.com/</a></li>
 	<li>Viene avviato il processo di riattivazione.</li>
 	<li>Da lì, accedete mediante l'estensione o il vault su web e verrete indirizzati a ripristinare la vostra master password.</li>
</ol>
Se, quando tentate di accedere, appare un messaggio che vi dice che il vostro account è stato disattivato, andate semplicemente su <a href="https://lastpass.com/">https://lastpass.com</a> per avviare il processo di verifica. Se accedete da un dispositivo sconosciuto o da una nuova postazione, vi verrà richiesto di utilizzare un dispositivo ritenuto affidabile in precedenza o di accedere da una postazione (indirizzo IP) precedente, da cui avete già effettuato l'accesso.

Una volta completata la verifica, potrete sbloccare il vostro account e aggiornare la vostra master password con una più forte.

Consigliamo vivamente di utilizzare la nostra <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">Prova di sicurezza di LastPass</a> per controllare se nel vostro vault sono presenti siti web con password riutilizzate. LastPass vi può poi aiutare a sostituire tali password con password più forti e uniche. Anche se non avete riutilizzato la master password di LastPass, è un buon momento per fare la Prova di sicurezza e accertare di avere una password diversa per ogni sito web che utilizzate.

Proteggiamo gli utenti di LastPass dal riutilizzo delle password

Come avrete già sentito più volte nelle ultime settimane, molti siti importanti, come <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">LinkedIn</a> e <[..]

La scorsa settimana è stato <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__motherboard.vice.com_read_another-2Dday-2Danother-2Dhack-2D117-2Dmillion-2Dlinkedin-2Demails-2Dand-2Dpassword&amp;d=CwMFaQ&amp;c=k6LEwkJiSX1kJxtgPu1uYQ&amp;r=ApUwt6UMibxcn49Us_-gW1tr9n68DpHnKhReCv--jwM&amp;m=Wu-SitMJqk5sZhZZjDgn3RmyJAY-NFZEvqICUvZj9no&amp;s=dQRos2ioqymOta3j_KIZ1NV2JA28eddehc45d4X9JT8&amp;e=">reso noto</a> che circa 117 milioni di e-mail e password LinkedIn, ottenute da una violazione della sicurezza risalente al 2012, sono ora in vendita sul mercato nero. Il database violato contiene 167 milioni di account, 117 milioni dei quali hanno sia indirizzo e-mail che password crittografate. E solo poche settimane fa <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__www.reuters.com_article_us-2Dcyber-2Dpasswords-2DidUSKCN0XV1I6&amp;d=CwMFaQ&amp;c=k6LEwkJiSX1kJxtgPu1uYQ&amp;r=ApUwt6UMibxcn49Us_-gW1tr9n68DpHnKhReCv--jwM&amp;m=Wu-SitMJqk5sZhZZjDgn3RmyJAY-NFZEvqICUvZj9no&amp;s=EIdMC-wO_aCJlqb7YuXRn8mAS2Mn7Ol0Aher2ktUhvs&amp;e=">è stata divulgata la notizia</a> che sono stati rubati 250 milioni di indirizzi e-mail, inclusi indirizzi di Google, Yahoo e Microsoft. È da ritenere che le credenziali rubate siano in pericolo, ma non si conosce ancora l’entità della minaccia. In seguito a qualsiasi violazione, in particolare quando i dettagli non sono chiari, è consigliabile mettere in atto alcune misure precauzionali volte a garantire la sicurezza dei nostri account.

<strong>Modificate la password dei vostri account LinkedIn Google, Yahoo e Microsoft:</strong> le password migliori e più sicure sono lunghe, uniche e casuali. Assicuratevi di non usare una password che usate già per un altro account. L'uso di password uniche vi garantisce che in un caso di violazione come questo, gli hacker non le potranno usare per accedere a nessun altro dei vostri account. L'opzione migliore? Usate un <a href="https://lastpass.com/generatepassword.php">generatore di password</a> per garantire il massimo livello di sicurezza.

<strong>Agite in modo proattivo con le altre password</strong><strong>:</strong> fate la <a href="https://helpdesk.lastpass.com/lastpass-security-challenge/">Prova di sicurezza di LastPass</a> per scoprire se avete password deboli, compromesse o riutilizzate. Prestate particolare attenzione agli account in cui potreste aver riutilizzato le password che usate per Google, Yahoo o Microsoft. La prova vi aiuterà ad agire, e cambierà anche le password per voi, automaticamente.

<a href="https://lastpass.com/challenge" target="_blank"><button><a href=</button></a>

<strong>Attivate l'autenticazione a due fattori (2FA): </strong>con l'autenticazione a due fattori attiva per i vostri account importanti, anche se un hacker riesce a rubarvi le password, non sarà in grado di accedere ai vostri account senza la seconda informazione, come un codice monouso generato da un'app nel vostro smartphone o un'impronta digitale. L'autenticazione a due fattori è estremamente utile per il vostro indirizzo e-mail, che è essenzialmente il portale d'accesso a tutte le vostre attività online, incluso il conto bancario, le carte di credito, gli investimenti e molto altro. Se siete utenti LastPass, vi consigliamo di <a href="https://blog.lastpass.com/2015/01/the-one-thing-you-can-do-right-now-to-be-more-secure-online-multifactor-authentication.html">attivare l'autenticazione a due fattori</a> nel vostro account LastPass. Ecco come attivare l'autenticazione a due fattori per gli account delle società che hanno subito la violazione:
<ol>
 	<li><a href="https://www.linkedin.com/help/linkedin/answer/544">LinkedIn</a></li>
 	<li><a href="https://www.google.com/landing/2step/" target="_blank" rel="noopener noreferrer">Google</a></li>
 	<li><a href="https://help.yahoo.com/kb/SLN5013.html" target="_blank" rel="noopener noreferrer">Yahoo</a></li>
 	<li><a href="http://windows.microsoft.com/en-us/windows/two-step-verification-faq" target="_blank" rel="noopener noreferrer">Microsoft</a></li>
</ol>
Sfortunatamente, ciò che è accaduto alle password degli utenti di Google, Yahoo e Microsoft sta diventando sempre più comune ed è probabile che in futuro assisteremo a un crescente diffondersi delle violazioni di questo tipo. Garantire la vostra sicurezza è particolarmente importante con questi account 'portale' che aprono la strada al resto della vostra vita online. Una violazione di questa entità può causare preoccupazione, ma mettendo in atto queste misure precauzionali potrete stare tranquilli e proteggere le vostre informazioni riservate.

Misure precauzionali per garantire la sicurezza dopo una violazione dell'account di posta elettronica

La scorsa settimana è stato <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__motherboard.vice.com_read_another-2Dday-2Danother-2Dhack-2D117-2Dmillion-2Dlinkedin-2Demails-2Dand-2Dpassword&a[..]

Pensate che il phishing sia un attacco ormai passato di moda? Vi invito a riconsiderare la questione. Nonostante i filtri antispam più efficaci a protezione della posta elettronica filtering, <a href="http://www.antiphishing.org/">Anti-Phishing Working Group</a> segnala un aumento del 18% dei report relativi ad attacchi unici di phishing nell’ultimo trimestre del 2014, e ora che siamo all’inizio del 2016 gli esperti in materia di sicurezza prevedono che questi dati siano destinati a crescere.

Il phishing è ancora una tattica molto utilizzata per sottrarre informazioni sensibili come password, codici di sicurezza e numeri delle carte di credito, oltre a introdurre malware in dispositivi personali e in sistemi aziendali. Anche un account LastPass potrebbe essere oggetto di un attacco di phishing. La protezione contro il phishing richiede sia un rilevamento più efficace da parte del software che utilizziamo, sia una migliore preparazione individuale come prima linea di difesa.

Ecco come LastPass combatte il phishing e cosa potete fare per migliorare la vostra capacità di rilevare un attacco, proteggendo le vostre informazioni più sensibili nel momento in cui siete colti alla sprovvista.
<h2>Che cos’è il phishing?</h2>
Gli attacchi di phishing si presentano in forme diverse. Potreste ricevere un’e-mail apparentemente proveniente dalla vostra banca nella quale vi viene richiesto di confermare le attività del vostro conto, oppure una fattura falsa con la richiesta di scaricare il documento allegato per confermare l’acquisto. Potrebbero essere diffuse pubblicità dannose o inviati link ai social media. Gli autori degli attacchi potrebbero giungere fino al punto di indirizzarvi a una pagina di login clonata quasi perfettamente da un sito web a voi ben conosciuto e affidabile che utilizzate.

Lo spear-phishing è una forma di attacco ancora più personale. Gli autori degli attacchi inviano e-mail che apparentemente provengono da un collaboratore o da un responsabile o dal vostro reparto IT. Legittimano le loro richieste utilizzando i dati che hanno appreso su di voi per ottenere altre informazioni o per fare in modo che scarichiate un file dannoso o che effettuiate un pagamento.
<h2>Come individuare gli attacchi di phishing</h2>
Molti attacchi di phishing si individuano facilmente, ma alcuni sono più sofisticati: è necessaria, dunque, una buona dose di scetticismo per identificare le e-mail, i link e le notifiche sospetti. Come individuare gli attacchi di phishing:
<ul>
	<li><strong>Controllate l’URL</strong>: osservate la barra dell’indirizzo del sito web che avete aperto o passate il puntatore del mouse sopra il link per vedere l’URL che compare nella barra in fondo a sinistra del vostro browser. In questo modo potete avere la conferma che si tratti di un URL affidabile e non dell’attacco di un impostore, prima di aprire il sito. Per esempio, con LastPass vedrete sempre <a href="https://lastpass.com">https://lastpass.com</a> oppure <a href="https://subdomain.lastpass.com">https://subdomain.lastpass.com</a>. L’URL di un attacco di phishing potrebbe presentarsi come <a href="http://lastpass.otherdomain.com">http://lastpass.otherdomain.com</a>. In questo caso il dominio è “otherdomain.com” e deve essere evitato.

[caption id="attachment_48365" align="aligncenter" width="320"]<img class="size-full wp-image-48365" src="https://cdn.lputil.com/wp-content/uploads/949128864566150468.jpg" alt="Image credit: Lifehacker" width="320" height="110" /> Image credit: <a href="http://lifehacker.com/5873050/how-to-boost-your-phishing-scam-detection-skills">Lifehacker</a></figure></div></li>
</ul>
<ul>
	<li><strong>Controllate il destinatario</strong>: siate scettici nei confronti di e-mail che si rivolgono semplicemente a voi come “Caro cliente” o senza formula di saluto. In generale la maggior parte dei rivenditori al dettaglio tende a rivolgersi al cliente chiamandolo per nome. Gli attacchi di spear-phishing, tuttavia, sono di frequente indirizzati a voi in modo specifico, quindi non a prova di errore.</li>
</ul>
<ul>
	<li><strong>Aprite voi stessi il sito web</strong>: se non siete sicuri, aprite una nuova scheda o finestra nel browser, immettete direttamente l’URL (o apritelo tramite il programma di gestione delle password) e vi renderete conto se si tratta di un sito legittimo.<img class="aligncenter size-full wp-image-48385" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.14.38-AM-2.png" alt="Screen Shot 2016-01-20 at 9.14.38 AM (2)" width="458" height="186" /></li>
</ul>
<ul>
	<li><strong>Controllate se il programma di gestione delle password indica un login corrispondente</strong>: LastPass può aiutarvi a difendervi dal phishing evitando di compilare automaticamente i vostri dati di login su un sito fasullo. Se il dominio non corrisponde a quello memorizzato in LastPass, i dati non verranno compilati. In questo caso controllate l’URL.</li>
</ul>
<ul>
	<li><strong>Se venite invitati ad agire con urgenza, reagite con calma</strong>: qualsiasi richiesta vi venga rivolta per invitarvi ad agire rapidamente potrebbe essere un tentativo di indurvi a fare qualcosa senza riflettere.</li>
</ul>
<ul>
	<li><strong>Fatevi qualche domanda</strong>: ho chiesto a questa persona di inviarmi un allegato? È qualcosa che non è tipico di quella persona? Se avete dei dubbi, siate scettici e chiedete.</li>
</ul>
<ul>
	<li><strong>Controllate l’HTTPS:// e il lucchetto</strong>: quando visitate un sito web, per la vostra sicurezza controllate sempre nella barra dell’URL di essere connessi mediante HTTPS, e che sia presente l’icona con il lucchetto che indica che il sito web è stato verificato da un’autorità attendibile. <img class="aligncenter size-full wp-image-48405" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.16.41-AM-2.png" alt="Screen Shot 2016-01-20 at 9.16.41 AM (2)" width="629" height="134" /></li>
</ul>
<h2>Quando il phishing attacca il vostro programma di gestione delle password</h2>
Gli attacchi di phishing non sono più limitati alle e-mail, agli annunci pubblicitari o ai link ai social media dannosi. Alcuni attacchi di phishing mirano anche alle estensioni che usate nel vostro browser, arrivando ad assumere le sembianze del vostro programma di gestione delle password.

Per esempio, è possibile che un sito web dannoso <a href="https://lastpass.com/support.php?cmd=showfaq&amp;id=10072">assuma le sembianze della vostra estensione del browser </a> mostrando notifiche che richiedono dati come il nome utente, la password e il codice di autenticazione a due fattori. Potrebbe essere difficile stabilire che le notifiche provengono dal sito dannoso anziché dall’estensione del proprio browser.
<h2>Come LastPass vi protegge dagli attacchi di phishing</h2>
<ul>
	<li><strong>Avviso se la master password viene inserita in una pagina non di LastPass</strong>: LastPass mostra un avviso con una finestra popup già quando effettuate il tentativo di inserire la master password su una pagina non di LastPass. Saprete immediatamente che la vostra master password potrebbe essere stata compromessa e avrete la possibilità di modificarla.</li>
</ul>
<ul>
	<li><strong>Richiesta di verifica per login da ubicazioni o dispositivi sconosciuti</strong>: LastPass esegue un processo di verifica tutte le volte che provate a effettuare il login da ubicazioni o dispositivi sconosciuti. Pertanto, se inserite involontariamente la master password e il codice di autenticazione a due fattori, qualsiasi tentativo da parte dell’autore dell’attacco di usare i dati verrebbe impedito da parte del processo di verifica per e-mail. Anche l’autore dell’attacco avrebbe necessità di accedere al vostro account e-mail; questo rischio potrebbe essere mitigato dall’autenticazione a due fattori richiesta per l’accesso. Se vedete una richiesta di verifica che non avete presentato, potete ignorarla e aggiornare la master password nelle impostazioni dell’account, nel vostro vault LastPass.</li>
</ul>
<ul>
	<li><strong>Impedire il logoff</strong>: una pagina dannosa potrebbe mostrare una notifica di LastPass fasulla che vi informa che è stato eseguito il logout e che è necessario effettuare nuovamente l’accesso. Vi invitiamo a verificare se siete ancora collegati nell’estensione LastPass e a effettuare l’accesso tramite l’estensione stessa.</li>
</ul>
Oltre a queste precauzioni, chiediamo a Google e altri browser di aiutarci a proteggere ulteriormente gli utenti offrendo modalità sicure di visualizzazione delle notifiche al di fuori dell’area di visualizzazione del browser.
<h2>Come potete aiutarci a proteggere il vostro account LastPass</h2>
Oltre alle misure di sicurezza che offriamo, voi stessi potete mantenere sicuro il vostro vault applicando le seguenti best practice:
<ul>
	<li><strong>Eseguire sempre il login tramite l’estensione di LastPass</strong>. Il modo più sicuro per eseguire il login a LastPass è fare clic sull’icona dell’estensione nella barra degli strumenti del browser.  <img class="aligncenter wp-image-48425" src="https://cdn.lputil.com/wp-content/uploads/sites/20/2020/04/ncsam2019finalblogbanner.jpg" alt="Screen Shot 2016-01-20 at 9.24.22 AM (2)" width="232" height="325" /></li>
</ul>
<ul>
	<li><strong>Non riutilizzate mai la vostra master password</strong>. Il riutilizzo della master password aumenta il rischio di furto del vostro vault. Utilizzate sempre una master password unica per LastPass e prestate attenzione al nostro avviso, se inserite la vostra master password per una finalità che non sia il login a LastPass.</li>
</ul>
<ul>
	<li><strong>Prestate attenzione quando scaricate LastPass</strong>. Scaricate sempre LastPass da LastPass.com o dai siti di vendita degli addon presenti nel vostro browser o dispositivo. Non scaricate mai il programma da siti di terzi, e anche nei siti di vendita degli addon prestate attenzione a prodotti che sono simili a LastPass, se il nome dell’editore è diverso e non hanno valutazioni.</li>
</ul>
<ul>
	<li><strong>Non condividete mai la vostra master password</strong>. Il team di LastPass non vi chiederà <em>mai</em> la master password. State in guardia se qualcuno che afferma di collaborare con LastPass vi chiede la master password. Non divulgate mai la vostra password, per nessun motivo.</li>
</ul>
<ul>
	<li><strong>Aggiungete l’autenticazione a due fattori</strong>. Un sistema di sicurezza efficace si basa su livelli di protezione che mitigano il rischio. <a href="http://helpdesk.lastpass.com/multifactor-authentication-options/">L’autenticazione a due fattori </a> richiede altre informazioni prima che sia possibile accedere all’account. Non si tratta certo di una formula magica, ma è comunque un provvedimento che contribuisce alla protezione dell’account.</li>
</ul>
<ul>
	<li><strong>Proteggete la vostra posta elettronica con una password forte e l’autenticazione a due fattori</strong>. Il vostro account e-mail spesso è la chiave del vostro forziere. Proteggetelo come se da esso dipendesse la vostra vita digitale perché potrebbe essere così. LastPass può generare una password forte ma “pronunciabile” per il vostro account che potete memorizzare, se preferite. E attivate sempre l’autenticazione a due fattori se il vostro provider ve ne offre l’opportunità.</li>
</ul>
La sicurezza online deve essere un impegno continuo per tutte le parti. Dal canto suo LastPass si impegna a migliorare il suo prodotto nel momento in cui compaiono nuove minacce e collabora con la comunità dei ricercatori per renderlo più solido. Noi come utenti dobbiamo impegnarci a seguire queste best practice per la nostra sicurezza.

Difendersi dal phishing

Pensate che il phishing sia un attacco ormai passato di moda? Vi invito a riconsiderare la questione. Nonostante i filtri antispam più efficaci a protezione della posta elettronica filtering, <a href=[..]

Blog

Blog

Ultime novità

Novità del settore

LastPass per amministratori

LastPass Labs

Aggiornamenti sul prodotto

Trucchi e suggerimenti

Notizie di sicurezza