Der beste Passwort-Manager sollen alle Ihre Login-Daten und Kreditkarteninformationen sicher und geschützt aufbewahren, aber eine große neue Sicherheitslücke setzt Benutzer des KeePass-Passwort-Managers gerade einem ernsthaften Risiko einer Sicherheitsverletzung aus.
Tatsächlich ermöglicht der Exploit einem Angreifer, das Master-Passwort eines KeePass-Benutzers im Klartext – also in unverschlüsselter Form – zu stehlen, indem er es einfach aus dem Speicher des Zielcomputers extrahiert. Es handelt sich um einen bemerkenswert einfachen Hack, der jedoch besorgniserregende Folgen haben könnte.
Passwort-Manager wie KeePass sperren alle Ihre Anmeldeinformationen, um sie sicher aufzubewahren, und alle diese Daten werden hinter einem Master-Passwort versiegelt. Sie geben Ihr Master-Passwort ein, um auf alles zuzugreifen, was in Ihrem Tresor gespeichert ist, was ihn zu einem wertvollen Ziel für Hacker macht.
Verwandt
- Dieser kritische Exploit könnte es Hackern ermöglichen, die Abwehrmaßnahmen Ihres Mac zu umgehen
- Diese peinlichen Passwörter führten dazu, dass Prominente gehackt wurden
- Google hat dieses wichtige Gmail-Sicherheitstool gerade völlig kostenlos zur Verfügung gestellt
Wie berichtet von Piepender ComputerDie KeePass-Schwachstelle wurde vom Sicherheitsforscher „vdohney“ entdeckt, der ein Proof-of-Concept-Tool (PoC) auf GitHub veröffentlichte. Dieses Tool ist in der Lage, fast das gesamte Master-Passwort (mit Ausnahme der ersten ein oder zwei Zeichen) in lesbarer, unverschlüsselter Form zu extrahieren. Dies ist sogar möglich, wenn KeePass gesperrt ist und möglicherweise die App vollständig geschlossen ist.
Empfohlene Videos
Das liegt daran, dass das Master-Passwort aus dem Speicher von KeePass extrahiert wird. Wie der Forscher erklärt, kann dies auf verschiedene Arten erreicht werden: „Es spielt keine Rolle, wo die.“ Der Speicher kommt von – kann der Prozess-Dump, die Auslagerungsdatei (pagefile.sys), die Ruhezustandsdatei (hiberfil.sys) sein. oder RAM Dump des gesamten Systems.“
Der Exploit existiert dank eines benutzerdefinierten Codes, den KeePass verwendet. Wenn Sie Ihr Master-Passwort eingeben, tun Sie dies in einem benutzerdefinierten Feld namens SecureTextBoxEx. Trotz des Namens stellt sich heraus, dass es sich um diese Box handelt Schließlich ist es nicht so sicher, da jedes in das Feld eingegebene Zeichen im Wesentlichen eine übrig gebliebene Kopie von sich selbst im System hinterlässt Speicher. Es sind diese Restzeichen, die das PoC-Tool findet und extrahiert.
Eine Lösung kommt
Der einzige Nachteil dieser Sicherheitsverletzung besteht darin, dass ein physischer Zugriff auf den Computer erforderlich ist, von dem das Master-Passwort extrahiert werden soll. Aber das ist nicht unbedingt immer ein Problem – wie wir im gesehen haben LastPass-Exploit-Saga, Hacker können mithilfe anfälliger Fernzugriffs-Apps, die auf dem Computer installiert sind, Zugriff auf den Computer eines Ziels erhalten.
Wenn ein Zielcomputer mit Malware infiziert wäre, könnte er so konfiguriert werden, dass er den Speicher von KeePass entleert und sowohl ihn als auch das sendet App-Datenbank zurück auf den eigenen Server des Hackers, sodass der Bedrohungsakteur das Master-Passwort auf seinem eigenen Server extrahieren kann Zeit.
Glücklicherweise sagt der Entwickler von KeePass, dass eine Lösung in Vorbereitung ist. Eine der möglichen Abhilfemaßnahmen besteht darin, zufälligen Dummy-Text in den Speicher der App einzufügen, der das Passwort verschleiern würde. Die Veröffentlichung des Fixes wird voraussichtlich nicht vor Juni oder Juli 2023 erfolgen, was für jeden, der Angst vor der Offenlegung seines Master-Passworts hat, eine schmerzhafte Wartezeit sein könnte. Allerdings hat der Entwickler auch eine Beta-Version des Fixes veröffentlicht, die heruntergeladen werden kann von der KeePass-Website.
Die Sicherheitslücke zeigt nur, dass selbst scheinbar sichere Apps wie Passwort-Manager angegriffen werden können, und es ist nicht das erste Mal, dass es sich um eine ernsthafte Schwachstelle handelt wurde in KeePass gefunden. Wenn Sie sich vor Online-Bedrohungen wie diesem neuesten Exploit schützen möchten, vermeiden Sie das Herunterladen Apps oder das Öffnen von Dateien von unbekannten Absendern, meiden Sie fragwürdige Websites und verwenden Sie ein Antivirenprogramm App. Und natürlich geben Sie das Master-Passwort Ihres Passwort-Managers niemals an Dritte weiter.
Empfehlungen der Redaktion
- Ransomware-Angriffe haben massiv zugenommen. So bleiben Sie auf der sicheren Seite
- Verursacht ChatGPT einen Cybersicherheits-Albtraum? Wir haben die Experten gefragt
- Hacker nutzen einen raffinierten neuen Trick, um Ihre Geräte zu infizieren
- Nein, 1Password wurde nicht gehackt – hier ist, was wirklich passiert ist
- Dieser Bing-Fehler ermöglicht es Hackern, Suchergebnisse zu ändern und Ihre Dateien zu stehlen
Werten Sie Ihren Lebensstil aufDigital Trends hilft Lesern mit den neuesten Nachrichten, unterhaltsamen Produktrezensionen, aufschlussreichen Leitartikeln und einzigartigen Einblicken, den Überblick über die schnelllebige Welt der Technik zu behalten.
