通常 LastPass 服务器不会发送加密密码，除非客户端证明它知道主密码。随着散列的泄露，攻击者是否有可能在不首先破解泄露的散列以获得主密钥的情况下检索加密的密码（即密文，没有主密码是无用的）？
我意识到此时 LastPass 不会向新 IP 发送加密密码，但他们必须有一个窗口。如果这是可能的，那么我们必须假设攻击者设法提取了至少一定百分比的加密密码。
对于主密码次优的人来说，这将是个坏消息，因为如果它有可能陷入离线攻击，那么仅更改主密码将无济于事：您还需要更改实际密码在您的弱主密码被破解之前。
相反，如果您认为根据我们对哈希算法的了解，您的主密码不会受到离线攻击，那么更改任何内容都没有任何意义。更改主密码但不更改实际密码的唯一情况是，如果您认为您的密文没有被攻击者下载。否则你要么改变一切，要么什么都不改变。
这是一个合理的场景吗？您是否期望攻击者设法检索到一定百分比的加密密码密文？
假设在违规后的某个时间点，LastPass 会向只知道帐户用户名和密码的任何人提供密码数据库，无论他们从哪台计算机连接，那么答案基本上是“是的，这是可能的”。
在这种情况下，如果攻击者能够在 LastPass 更改其安全性之前破解用户的主密码并登录到该用户的 LastPass 帐户，则用户的密码数据库肯定会受到损害。
然而，那个时间窗口（大概）很小。如果在主密码的散列和存储方面采取了适当的安全措施，那么拥有强主密码的任何人通常不太可能在该窗口内使他们的帐户受到损害。具有极弱和/或普通主密码的帐户的哈希值可能已被破解，但其他任何人都可能是“安全的”。
也就是说，即使采用了新的安全措施，一些用户的帐户仍然很有可能被入侵。对于访问帐户的新系统，LastPass 正在回退到电子邮件验证。如果用户的主密码被破解，并且相同的密码可以保护他们的电子邮件帐户，那么攻击者绕过新的安全措施将是相当简单的。
Lastpass 使用您的主密码加密密码并将其存储在“用户保险库”中。“用户保险库”仅在用户进行身份验证后可用。该主密码存储在哈希中。主密码哈希（以及其他一些细节）是已知的已被采用的。
根据Lastpass 博客：
在我们的调查中，我们没有发现任何证据表明加密的用户保管库数据被盗，也没有发现 LastPass 用户帐户被访问。
由于主哈希被泄露，Lastpass 要求从新设备或 IP 地址登录首先通过电子邮件进行验证。在实施此附加控制之前，攻击者可能已经登录了您的帐户（前提是您没有两因素身份验证），但只有在他们破解了您的哈希之后。由于盐和轮数的存在，破解哈希以获得足够复杂的密码是很困难的。