Lastpass用户Vaults语句和双因素认证的重要性

Question

Lastpass违约声明向启用双因素身份验证的人员保证，并推荐给所有用户。我还注意到，他们还解释说，没有证据表明加密的用户金库是被拿走的，而且后来声明他们没有在周一的同一份声明中被拿走。双因素身份验证的值似乎只保护正常的在线客户端通过其主密码访问用户的保险库。

我的问题是:如果他们弄错了用户库没有被拿走，那么双因素保护是否就变得完全不相关了？

Answer 1

由于LastPass是一种专有服务，因此很难给出明确的答案。我可以说，我没有看到任何文档表明，2因素身份验证(2FA)可以保护您免受侧门攻击，而您的数据是从服务器窃取的。尽管如此，2FA确实提供了额外的安全性，防止通过API进行攻击。

因此，在我看来，关于2FA的声明是为了安抚公众，鼓励更安全的做法，而不是提供一种策略来防范类似的LastPass攻击。

Answer 2

是的，如果加密的金库是从服务器上偷来的，那么2FA是没有帮助的。但是，如果您的主密码很强，黑客将无法解密金库，因为它将被您的主密码加密。

当用户的主密码被盗(或弱)时，2FA是有用的。在这种情况下，2FA将阻止攻击者下载加密的金库。此外，根据Lastpass官方声明，主密码的哈希被偷，而不是加密的金库。在这种情况下，2FA增加了额外的安全性，因为如果黑客能够通过硬散列获得主密码，他仍然无法登录下载加密的金库。