The nejlepší správci hesel jsou určeny k udržení všech vašich přihlašovacích údajů a informací o kreditních kartách v bezpečí, ale nová významná zranitelnost vystavila uživatele správce hesel KeePass vážnému riziku porušení.
Ve skutečnosti zneužití umožňuje útočníkovi ukrást hlavní heslo uživatele KeePass v prostém textu – jinými slovy v nešifrované podobě – jednoduše jeho extrakcí z paměti cílového počítače. Je to pozoruhodně jednoduchý hack, který však může mít znepokojivé důsledky.
Správci hesel, jako je KeePass, uzamknou všechny vaše přihlašovací údaje, aby byly v bezpečí, a všechna tato data jsou zapečetěna pod hlavním heslem. Zadáte své hlavní heslo pro přístup ke všemu uloženému ve vašem trezoru, což z něj dělá cenný cíl pro hackery.
Příbuzný
- Toto kritické zneužití by mohlo hackerům umožnit obejít obranu vašeho Macu
- Tato trapná hesla napadla celebrity
- Google právě udělal tento životně důležitý nástroj pro zabezpečení Gmailu zcela zdarma
Jak uvádí Pípavý počítač, zranitelnost KeePass objevil bezpečnostní výzkumník ‚vdohney‘, který na GitHubu zveřejnil nástroj pro ověření konceptu (PoC). Tento nástroj je schopen extrahovat téměř celé hlavní heslo (kromě prvního jednoho nebo dvou znaků) v čitelné, nešifrované podobě. Může to dokonce udělat, pokud je KeePass uzamčen a případně, pokud je aplikace zcela uzavřena.
Doporučená videa
Je to proto, že extrahuje hlavní heslo z paměti KeePass. Jak vysvětluje výzkumník, lze to získat různými způsoby: „Nezáleží na tom, kde paměť pochází z — může to být výpis procesu, odkládací soubor (pagefile.sys), soubor hibernace (hiberfil.sys) nebo RAM výpis celého systému."
Exploit existuje díky nějakému vlastnímu kódu, který KeePass používá. Když zadáte své hlavní heslo, uděláte tak ve vlastním poli s názvem SecureTextBoxEx. Navzdory názvu se ukázalo, že tato krabice je není koneckonců tak bezpečný, protože každý znak zadaný do pole v podstatě zanechává v systému zbylou kopii sebe sama Paměť. Jsou to tyto zbytky znaků, které nástroj PoC najde a extrahuje.
Přichází oprava
Jedinou výhradou tohoto porušení zabezpečení je, že vyžaduje fyzický přístup k počítači, ze kterého má být extrahováno hlavní heslo. Ale to není nutně vždy problém - jak jsme viděli v LastPass využívá ságuhackeři mohou získat přístup k cílovému počítači pomocí zranitelných aplikací pro vzdálený přístup nainstalovaných v počítači.
Pokud byl cílový počítač infikován malwarem, mohl být nakonfigurován tak, aby vypsal paměť KeePass a odeslal ji i databázi aplikace zpět na vlastní server hackera, což umožňuje aktérovi hrozby extrahovat hlavní heslo ze svého čas.
Naštěstí vývojář KeePass říká, že přichází oprava, přičemž jedním z možných řešení je vložení náhodného fiktivního textu do paměti aplikace, který by zatemnil heslo. Oprava by měla být vydána až v červnu nebo červenci 2023, což může být bolestivé čekání pro každého, kdo je nervózní z úniku jejich hlavního hesla. Vývojář však vydal také beta verzi opravy, kterou je možné stáhnout z webu KeePass.
Tato zranitelnost jen ukazuje, že i zdánlivě bezpečné aplikace, jako jsou správci hesel, mohou být prolomeny, a není to poprvé, kdy jde o vážnou slabinu. byl nalezen v KeePass. Pokud se chcete chránit před online hrozbami, jako je tento nejnovější exploit, vyhněte se stahování aplikace nebo otevírání souborů od neznámých odesílatelů, vyhýbejte se pochybným webům a používejte antivirus aplikace. A samozřejmě nikdy s nikým nesdílejte hlavní heslo vašeho správce hesel.
Doporučení redakce
- Útoky ransomwaru masivně vzrostly. Zde je návod, jak zůstat v bezpečí
- Vytváří ChatGPT noční můru kybernetické bezpečnosti? Zeptali jsme se odborníků
- Hackeři používají k infikování vašich zařízení nový nevyzpytatelný trik
- Ne, 1Password nebyl hacknut – tady je to, co se skutečně stalo
- Tato chyba Bingu umožnila hackerům změnit výsledky vyhledávání a ukrást vaše soubory
Upgradujte svůj životní stylDigitální trendy pomáhají čtenářům mít přehled o rychle se měnícím světě technologií se všemi nejnovějšími zprávami, zábavnými recenzemi produktů, zasvěcenými úvodníky a jedinečnými náhledy.
