Lastpass<\/p>\n
N\u00e4r det g\u00e4ller kontos\u00e4kerhet \u00e4r det i allm\u00e4nhet en bra id\u00e9<\/a> att anv\u00e4nda en l\u00f6senordshanterare. Men vad h\u00e4nder om den l\u00f6senordshanteraren sp\u00e5rar vad du g\u00f6r och inte ens ber\u00e4ttar f\u00f6r dig? Enligt s\u00e4kerhetsforskaren Mike Kuketz<\/a> har LastPass Android-appen sju inbyggda sp\u00e5rare, och LastPass kanske inte vet vilken data de samlar in.<\/p>\n Som f\u00f6rst uppt\u00e4cktes av The Register, anv\u00e4nde Kuketz verktyg fr\u00e5n Exodus Privacy<\/a> f\u00f6r att unders\u00f6ka LastPass Android-appen och uppt\u00e4ckte sju sp\u00e5rare inb\u00e4ddade i dess kod:<\/p>\n \u00c4ven om Exodus Privacy bekr\u00e4ftar n\u00e4rvaron av sp\u00e5rare, garanterar det inte att de g\u00f6r n\u00e5gonting. S\u00e5 Kuketz f\u00f6ljde upp med n\u00e4tverks\u00f6vervakning n\u00e4r han satte upp ett nytt LastPass-konto. Han uppt\u00e4ckte att appen n\u00e5dde ut till n\u00e4stan alla sp\u00e5rares servrar utan att f\u00f6rst fr\u00e5ga om lov.<\/p>\n Ytterligare inspektion tyder inte p\u00e5 att sp\u00e5rarna \u00f6verf\u00f6rde n\u00e5gra anv\u00e4ndarnamn eller l\u00f6senordsdata, men det verkar veta n\u00e4r anv\u00e4ndaren skapar ett l\u00f6senord och vilken typ. Kuketz s\u00e4ger att det inte \u00e4r acceptabelt att inkludera en sp\u00e5rningskod av denna typ i en l\u00f6senordshanterare (eller liknande s\u00e4kerhetsfokuserad app), eftersom utvecklarna inte kan vara helt medvetna om vad sp\u00e5rningskoden samlar in. Det beror p\u00e5 att sp\u00e5rare ofta anv\u00e4nder egen kod som inte \u00e4r \u00f6ppen f\u00f6r inspektion.<\/p>\n M\u00e4ngden data verkar vara omfattande och avsl\u00f6jar information om enheten som anv\u00e4nds, mobiloperat\u00f6ren, typen av LastPass-konto och anv\u00e4ndarens Google Advertising ID (anv\u00e4nds f\u00f6r att koppla samman data om anv\u00e4ndaren mellan appar). Det r\u00e4cker med data f\u00f6r att bygga en omfattande profil kring den mest privata informationen du lagrar.<\/p>\n Enligt Exodus Privacy anv\u00e4nder andra l\u00f6senordshanterare inte lika m\u00e5nga sp\u00e5rare. Bitwarden har tv\u00e5<\/a>, RoboForm<\/a> och Dashlane<\/a> har fyra, och 1Password<\/a> har ingen. Varf\u00f6r LastPass anv\u00e4nder s\u00e5 m\u00e5nga \u00e4r inte klart.<\/p>\n I ett uttalande till The Register sa en LastPass-talesperson, "…ingen k\u00e4nslig personligt identifierbar anv\u00e4ndardata eller valvaktivitet kunde skickas genom dessa sp\u00e5rare." Talesmannen fortsatte med att s\u00e4ga att du kan v\u00e4lja bort analysen i inst\u00e4llningsmenyn. \u00c4nd\u00e5, mellan den h\u00e4r rapporten och den senaste \u00e4ndringen som LastPass gjorde f\u00f6r att tvinga anv\u00e4ndare p\u00e5 gratisniv\u00e5 att v\u00e4lja mellan skrivbords- och mobilsynkronisering<\/a>, kan det vara dags att g\u00e5 \u00f6ver till ett annat alternativ som Bitwarden<\/a> eller 1Password<\/a>.<\/p>\n\n