A legjobb jelszókezelők célja, hogy minden bejelentkezési adatait és hitelkártyaadatait biztonságban tartsák, de egy jelentős új sérülékenység miatt a KeePass jelszókezelő felhasználóit komoly veszélynek teszik ki, hogy megsértik őket.
Valójában a kizsákmányolás lehetővé teszi a támadó számára, hogy egyszerű szövegben – más szóval, titkosítatlan formában – ellopja a KeePass felhasználó fő jelszavát úgy, hogy egyszerűen kivonja azt a célszámítógép memóriájából. Ez egy rendkívül egyszerű feltörés, mégis aggasztó következményekkel járhat.
A jelszókezelők, mint például a KeePass, minden bejelentkezési adatot zárolnak, hogy biztonságban legyenek, és az összes adatot egy fő jelszó mögé zárják. Meg kell adnia fő jelszavát, hogy hozzáférjen a tárolójában tárolt összeshez, ami értékes célponttá teszi a hackerek számára.
Összefüggő
- Ez a kritikus kizsákmányolás lehetővé teheti a hackerek számára, hogy megkerüljék a Mac védelmét
- Ezekkel a kínos jelszavakkal hírességeket törtek fel
- A Google most teljesen ingyenessé tette ezt a létfontosságú Gmail biztonsági eszközt
Amint arról beszámolt Csipogó számítógép, a KeePass sebezhetőségét „vdohney” biztonsági kutató fedezte fel, aki egy koncepcióbizonyító (PoC) eszközt tett közzé a GitHubon. Ez az eszköz szinte a teljes mesterjelszót (az első egy-két karakter kivételével) képes kiolvasni, olvasható, titkosítatlan formában. Még akkor is megteheti ezt, ha a KeePass zárolva van, és potenciálisan, ha az alkalmazás teljesen be van zárva.
Ajánlott videók
Ennek az az oka, hogy kivonja a fő jelszót a KeePass memóriájából. Mint a kutató kifejti, ezt többféleképpen is meg lehet szerezni: „Nem mindegy, hogy hol a a memória származik – lehet folyamatkiírat, cserefájl (pagefile.sys), hibernált fájl (hiberfil.sys) vagy RAM az egész rendszer kidobása.”
A kihasználás a KeePass néhány egyedi kódjának köszönhetően létezik. Amikor megadja fő jelszavát, azt egy SecureTextBoxEx nevű egyéni mezőben teheti meg. A név ellenére kiderül, hogy ez a doboz az mégsem olyan biztonságos, hiszen minden, a mezőbe beírt karakter lényegében egy maradék másolatot hagy magáról a rendszerben memória. Ezeket a maradék karaktereket találja meg és bontja ki a PoC eszköz.
Jön a javítás
A biztonsági incidens egyetlen figyelmeztetése az, hogy fizikai hozzáférést igényel ahhoz a géphez, amelyről a fő jelszót ki kell nyerni. De ez nem feltétlenül mindig probléma – amint láttuk a LastPass exploit saga, a hackerek a számítógépre telepített sebezhető távoli hozzáférésű alkalmazások segítségével hozzáférhetnek a célpont számítógépéhez.
Ha a célszámítógépet rosszindulatú program fertőzte meg, akkor úgy konfigurálható, hogy kiürítse a KeePass memóriáját, és elküldje azt és a az alkalmazás adatbázisa visszakerül a hacker saját szerverére, lehetővé téve a fenyegetés szereplőjének, hogy kimásolja a fő jelszavát a sajátjából. idő.
Szerencsére a KeePass fejlesztője azt mondja, hogy érkezik egy javítás, amelynek egyik lehetséges megoldása az, hogy véletlenszerű álszöveget szúrnak be az alkalmazás memóriájába, amely elhomályosítaná a jelszót. A javítás várhatóan csak 2023 júniusában vagy júliusában jelenik meg, ami fájdalmas várakozás lehet annak, aki ideges a főjelszó kiszivárgása miatt. A fejlesztő azonban kiadta a javítás béta verzióját is, amely letölthető a KeePass webhelyről.
A sebezhetőség csak azt mutatja, hogy még a látszólag biztonságos alkalmazások, például a jelszókezelők is feltörhetők, és nem ez az első eset, hogy komoly gyengeségről van szó. megtalálták a KeePass-ban. Ha szeretné megvédeni magát az olyan online fenyegetésektől, mint ez a legújabb kizsákmányolás, kerülje a letöltést alkalmazásokhoz vagy ismeretlen feladóktól származó fájlok megnyitásához, kerülje a kérdéses webhelyeket, és használjon víruskeresőt kb. És természetesen soha ne ossza meg senkivel a jelszókezelő fő jelszavát.
Szerkesztői ajánlások
- A ransomware támadások nagymértékben megugrottak. Így maradhat biztonságban
- A ChatGPT kiberbiztonsági rémálmot hoz létre? Megkérdeztük a szakértőket
- A hackerek egy ravasz, új trükköt használnak az eszközök megfertőzésére
- Nem, az 1Password-ot nem törték fel – ez történt valójában
- Ez a Bing hiba lehetővé teszi a hackerek számára, hogy módosítsák a keresési eredményeket, és ellopják a fájlokat
Frissítse életmódjátA Digital Trends segítségével az olvasók nyomon követhetik a technológia rohanó világát a legfrissebb hírekkel, szórakoztató termékismertetőkkel, éleslátó szerkesztőségekkel és egyedülálló betekintésekkel.
