The najbolji upravitelji lozinkama namijenjeni su čuvanju svih vaših prijava i podataka o kreditnoj kartici sigurnima, ali velika nova ranjivost dovela je korisnike KeePass upravitelja lozinki u ozbiljan rizik od provale.
Zapravo, eksploatacija omogućuje napadaču da ukrade glavnu lozinku korisnika KeePassa u običnom tekstu - drugim riječima, u nešifriranom obliku - jednostavnim izdvajanjem iz memorije ciljanog računala. To je nevjerojatno jednostavan hak, ali bi mogao imati zabrinjavajuće implikacije.
Upravitelji zaporki poput KeePass zaključavaju sve vaše podatke za prijavu kako bi bili sigurni, a svi su ti podaci zapečaćeni iza glavne zaporke. Upisujete svoju glavnu lozinku za pristup svemu što je pohranjeno u vašem trezoru, što ga čini vrijednom metom za hakere.
Povezano
- Ova kritična eksploatacija mogla bi omogućiti hakerima da zaobiđu obranu vašeg Maca
- Ove neugodne lozinke hakiraju slavne osobe
- Google je upravo ovaj vitalni Gmail sigurnosni alat učinio potpuno besplatnim
Kako javlja Blještavo računalo, ranjivost KeePass otkrio je sigurnosni istraživač 'vdohney', koji je objavio alat za dokaz koncepta (PoC) na GitHubu. Ovaj alat može izdvojiti gotovo cijelu glavnu lozinku (osim prvog ili dva znaka) u čitljivom, nešifriranom obliku. To čak može učiniti ako je KeePass zaključan i, potencijalno, ako je aplikacija potpuno zatvorena.
Preporučeni videozapisi
To je zato što izdvaja glavnu lozinku iz memorije KeePassa. Kako objašnjava istraživač, to se može dobiti na različite načine: “Nije važno gdje memorija dolazi iz — može biti dump procesa, swap datoteka (pagefile.sys), hibernacijska datoteka (hiberfil.sys) ili radna memorija dump cijelog sustava.”
Eksploatacija postoji zahvaljujući nekom prilagođenom kodu koji koristi KeePass. Kada unesete svoju glavnu lozinku, to činite u prilagođenom okviru pod nazivom SecureTextBoxEx. Unatoč nazivu, ispada da ova kutija jest ipak nije tako siguran, budući da svaki znak upisan u okvir u biti ostavlja kopiju sebe u sustavu memorija. Alat PoC pronalazi i izvlači te zaostale znakove.
Stiže popravak
Jedno upozorenje za ovo kršenje sigurnosti je da zahtijeva fizički pristup stroju s kojeg se treba izvući glavna lozinka. Ali to nije nužno uvijek problem - kao što smo vidjeli u LastPass exploit saga, hakeri mogu dobiti pristup ciljanom računalu pomoću ranjivih aplikacija za daljinski pristup instaliranih na računalu.
Ako je ciljno računalo bilo zaraženo zlonamjernim softverom, moglo bi se konfigurirati za izbacivanje memorije KeePassa i slanje i nje i bazu podataka aplikacije natrag na hakerov vlastiti poslužitelj, dopuštajući akteru prijetnje da ekstrahira glavnu lozinku u vlastitom vrijeme.
Srećom, programer KeePass-a kaže da stiže popravak, a jedan od mogućih lijekova je umetanje nasumičnog lažnog teksta u memoriju aplikacije koji bi zamaskirao lozinku. Ne očekuje se da će popravak biti objavljen do lipnja ili srpnja 2023., što bi moglo biti bolno čekanje za sve koji su nervozni zbog curenja njihove glavne lozinke. Međutim, programer je također objavio beta verziju popravka, koja se može preuzeti s web stranice KeePass.
Ranjivost samo pokazuje da čak i naizgled sigurne aplikacije poput upravitelja lozinkama mogu biti probijene, a to nije prvi put da se radi o ozbiljnoj slabosti pronađeno je u KeePassu. Ako se želite zaštititi od mrežnih prijetnji poput ove najnovije eksploatacije, izbjegavajte preuzimanje aplikacije ili otvaranje datoteka od nepoznatih pošiljatelja, klonite se sumnjivih web stranica i koristite antivirusni program aplikacija I, naravno, nikada ni s kim ne dijelite glavnu lozinku upravitelja lozinki.
Preporuke urednika
- Napadi ransomwarea su u velikom porastu. Evo kako se zaštititi
- Stvara li ChatGPT noćnu moru kibernetičke sigurnosti? Pitali smo stručnjake
- Hakeri koriste novi lukavi trik kako bi zarazili vaše uređaje
- Ne, 1Password nije hakiran - evo što se stvarno dogodilo
- Ovaj Bingov nedostatak omogućuje hakerima da mijenjaju rezultate pretraživanja i kradu vaše datoteke
Nadogradite svoj životni stilDigitalni trendovi pomažu čitateljima da prate brzi svijet tehnologije sa svim najnovijim vijestima, zabavnim recenzijama proizvoda, pronicljivim uvodnicima i jedinstvenim brzim pregledima.
