Wenn ein Super-Admin das Master-Passwort eines Benutzers zurücksetzt, erzeugt er einen Verschlüsselungsprozess, der die Daten vor unbefugten Benutzern schützt.

Wenn ein Administrator die Richtlinie „Zurücksetzen von Master-Passwörtern durch Superadministratoren erlauben“ aktiviert, wird für den Administrator ein asymmetrisches Schlüsselpaar (öffentlich/privat) generiert. Der öffentliche asymmetrische Schlüssel des Superadministrators wird an die LastPass-Cloud gesendet und gespeichert. Der private asymmetrische Schlüssel des Superadministrators wird mit seinem symmetrischen Vault-Schlüssel verschlüsselt und an die LastPass-Cloud gesendet und gespeichert.

Als nächstes findet ein Schlüsselaustausch statt, wenn sich der ausgewählte Benutzer (für den das Master-Passwort zurückgesetzt werden soll) über die LastPass-Webbrowser-Erweiterung (nicht die Website) anmeldet. LastPass lädt dann den öffentlichen asymmetrischen Schlüssel jedes Superadministrators aus der LastPass-Cloud herunter. Der öffentliche asymmetrische Schlüssel jedes Superadministrators wird zum Verschlüsseln des symmetrischen Vault-Schlüssels des ausgewählten Benutzers verwendet. Der verschlüsselte symmetrische Vault-Schlüssel wird dann an die LastPass-Cloud zurückgesendet und gespeichert (einer für jeden in der Richtlinie aufgeführten Superadministrator).

Wenn der Superadministrator das Master-Passwort des ausgewählten Benutzers zurücksetzt, finden die folgenden Aktionen statt:

1. Der verschlüsselte Vault des Zielbenutzers und der verschlüsselte symmetrische Vault-Verschlüsselungsschlüssel des Benutzers werden in den lokalen Computer des Superadministrators heruntergeladen. Der Superadministrator lädt auch seinen eigenen verschlüsselten privaten asymmetrischen Schlüssel von LastPass herunter.
2. Der Superadministrator entschlüsselt dann seinen privaten asymmetrischen Schlüssel mithilfe seines symmetrischen Vault-Schlüssels und verwendet diesen privaten symmetrischen Schlüssel, um den verschlüsselten symmetrischen Vault-Schlüssel des Benutzers zu entschlüsseln. Der Superadministrator kann dann den verschlüsselten Vault des Zielbenutzers mit dem symmetrischen Vault-Schlüssel des Benutzers entschlüsseln.
3. Als Nächstes wählt der Superadministrator ein neues Master-Passwort aus, das (zusammen mit einem Salt des Benutzernamens des Zielbenutzers) gehasht wird, um einen neuen symmetrischen Vault-Schlüssel für diesen Benutzer zu erstellen. Der neue symmetrische Vault-Schlüssel des Benutzers wird mit dem privaten asymmetrischen Schlüssel des Superadministrators verschlüsselt und ersetzt die alten Daten in der LastPass-Cloud. Der neu verschlüsselte Vault des Zielbenutzers wird ebenfalls an LastPass gesendet, um den ursprünglichen Vault zu ersetzen.