この大規模なパスワード マネージャーのエクスプロイトは決して修正されない可能性があります

パスワード マネージャーにとっては、主に LastPass だけではありますが、ここ数か月はひどいものでした。 しかし、LastPass が明らかにした後、 重大な違反に見舞われた、オープンソースマネージャーKeePassに注目が集まっています。

新しい脆弱性により、ハッカーがユーザーのパスワード データベース全体を暗号化されていない平文で密かに盗むことができるという告発が飛び交っています。 これは非常に深刻な主張ですが、KeePass の開発者はこれに異議を唱えています。

KeePass はオープンソースです パスワードマネージャー 競合製品のようにクラウドではなく、ユーザーのデバイスにコンテンツを保存します。 ただし、他の多くのアプリと同様に、そのパスワード保管庫はマスター パスワードで保護できます。

脆弱性は次のように記録されます CVE-2023-24055、ユーザーのシステムへの書き込みアクセス権を持つ誰でも利用できます。 これを取得すると、脅威アクターは KeePass の XML 構成ファイルにコマンドを追加できます。 すべてのユーザー名とパスワードを含むアプリのデータベースを暗号化されていないファイルに自動的にエクスポートします。 平文ファイル。

XML ファイルに加えられた変更のおかげで、プロセスはすべてバックグラウンドで自動的に実行されるため、データベースがエクスポートされたことがユーザーに通知されることはありません。 攻撃者は、エクスポートされたデータベースを、管理するコンピュータまたはサーバーに抽出できます。

修正されないよ

しかし、KeePass の開発者は、このプロセスを脆弱性として分類することに異議を唱えています。 デバイスへの書き込みアクセス権を持つユーザーは、別の (場合によってはより簡単な) 方法を使用してパスワード データベースを入手できます。 メソッド。

つまり、誰かがデバイスにアクセスできるようになると、この種の XML エクスプロイトは不要になります。 たとえば、攻撃者はキーロガーをインストールしてマスター パスワードを取得する可能性があります。 論理的には、この種の攻撃を心配することは、馬が飛び出した後にドアを閉めるようなものだということです。 攻撃者がコンピュータにアクセスした場合、XML エクスプロイトを修正しても役に立ちません。

開発者らは、解決策は「（ウイルス対策ソフトウェアやファイアウォールを使用する、未知の電子メールの添付ファイルを開かないなどによって）環境を安全に保つこと」だと主張している。 KeePass は、安全でない環境では魔法のように安全に実行できません。」

何ができるでしょうか？

KeePass の開発者は問題を解決する気はないようですが、自分で実行できる手順はあります。 最善の方法は、 強制設定ファイル. これは他の設定ファイルよりも優先され、外部の力による悪意のある変更 (データベース エクスポートの脆弱性で使用されたものなど) を軽減します。

また、通常のユーザーには、そこに含まれる重要なファイルやフォルダーへの書き込みアクセス権がないことを確認する必要があります。 KeePass ディレクトリ内にあり、KeePass .exe ファイルと強制設定ファイルの両方が同じ場所にあること フォルダ。

KeePass を使い続けることに不安がある場合は、他にもたくさんの選択肢があります。 いずれかに切り替えてみてください 最高のパスワードマネージャー ログインとクレジット カードの詳細をこれまで以上に安全に保ちます。

これは間違いなくパスワード マネージャーの世界にとってさらに悪いニュースですが、これらのアプリは依然として使用する価値があります。 彼らはあなたの創造を助けることができます 強力でユニークなパスワード すべてのデバイスで暗号化されます。 それよりもはるかに安全です すべてのアカウントに「123456」を使用.

編集者のおすすめ

• この重大なエクスプロイトにより、ハッカーが Mac の防御を回避できる可能性があります
• ハッカーが別のパスワード マネージャーのマスター キーを盗んだ可能性があります
• いいえ、1Password はハッキングされませんでした – これが実際に起こったことです
• この無料のパスワード マネージャーを使用すると、パスワードが危険にさらされる可能性があります
• LastPass がどのようにハッキングされたかを明らかに - それは良いニュースではありません

ライフスタイルをアップグレードするDigital Trends は、読者が最新ニュース、楽しい製品レビュー、洞察力に富んだ社説、ユニークなスニーク ピークをすべて提供して、ペースの速いテクノロジーの世界を監視するのに役立ちます。