在 LastPass 中对我的帐户进行分类时，我脑子里闪过一个愚蠢的想法。
我可以将我的 LastPass 密码存储在 LastPass 中吗？
最初我认为这将是一个完全没有意义的思想实验。您实际上无法在 LastPass 中保存您的 LastPass 详细信息……对吧？
即使用户确实尝试保存自己的 LastPass 密码，也肯定会有某种错误或完整性检查阻止此操作...
...或者我可以毫无问题地添加我的密码。
显然，这没有多大意义。这样做相当于将保险箱密码存储在所述密码锁保险箱内。我很好奇的是安全隐患。
将我的 LastPass 密码存储在 LastPass 中有多不安全？它会导致哪些潜在的安全问题？
它相当没用，因为您首先需要输入密码才能恢复它。但是恕我直言，这本身并没有真正削弱密码库的整体安全性。假设LastPass正确实施加密，访问加密主密码的唯一方法是......通过另一种方式找到它。如果攻击者获得了对加密保险库的访问权，那么主密码不会保护其他任何东西，因为整个保险库都在攻击者的手中。
恕我直言，这仍然是一种糟糕的做法，但主要是因为它没用，这样做可能会给人一种虚假的安全感，或者是其他奇怪用法的指标。
根据他们的文档，LastPass 似乎将您的 Vault 存储为单个加密 blob 。让我们考虑两种攻击场景。
首先，攻击者设法获得了您的加密保险库。他需要打开保险柜才能获得密码。从理论上讲，攻击者可能只恢复了您的保险库的一部分，而您的主密码恰好在其中。这将导致您的整个 Vault 遭到破坏。
其次，假设攻击者设法获取了您未加密的 Vault 的快照。然后，他获得了您的主密码，这使他可以在以后可能包含更多秘密的情况下解密您的 Vault。
从理论上讲，将主密码存储在 Vault 中会在一定程度上削弱安全性。是否被某人接受是一个权衡，每个人都必须自己决定。
这类似于把钥匙放在你的保险箱里。虽然确保您的钥匙在保险箱中是安全的，但您需要钥匙才能打开保险箱。因为你需要一把钥匙来打开你的保险箱，所以你放在保险箱里的所有东西都是安全的，包括你的钥匙。
LastPass 本质上是一个保险箱，但他们称之为保险库。这一切都用您的主密码加密，这是您的密钥。在 LastPass 中存储您的 LastPass 密码就像在您的保险箱中存储重复的密钥一样。
这是安全风险吗？完全取决于你。如果有人掌握了您未受保护的计算机，他们将能够看到主密码并复制它，从而危及您的 LastPass 帐户。这就像您将保险箱打开一秒钟，然后有人走过来抓住您留在里面的钥匙的印记。