Forskere har nettopp funnet en feil i Bitwarden, en populær passordbehandler. Hvis den utnyttes, kan feilen gi hackere tilgang til påloggingsinformasjon, og kompromittere ulike kontoer.
Feilen i Bitwarden ble oppdaget av Flammepunkt, et sikkerhetsanalysefirma. Selv om problemet ikke har fått mye - eller noen - dekning i det siste, ser det ut til at Bitwarden var klar over det hele tiden. Slik fungerer det.
Den potensielle sikkerhetsrisikoen ligger innenfor Bitwardens funksjon for autofyll ved sideinnlasting. Den lar innebygde rammer (iframes) få tilgang til påloggingsdetaljene dine, og hvis nevnte iframes er kompromittert, så er legitimasjonen din også. En iframe er et HTML-element som lar utviklere bygge inn en annen nettside på siden du er på. De brukes ofte for å bygge inn annonser, videoer eller nettanalyse.
I slekt
- Disse pinlige passordene fikk kjendiser til å hacke
- Hackere bruker et utspekulert nytt triks for å infisere enhetene dine
- OpenAI truer med søksmål over student GPT-4-prosjektet, glemmer at du kan bruke det gratis
Ifølge Flashpoint kan bruk av Bitwarden med autofyll aktivert på en side som inneholder iframes føre til passordtyveri. Dette er fordi autofyll ved sideinnlasting automatisk fyller ut login og passord både på siden du er på og innenfor iframen – og det utsetter deg for visse risikoer.
Anbefalte videoer
I sin rapport sa Flashpoint: "Selv om den innebygde iframen ikke har tilgang til noe innhold på overordnet side, kan den vent på input til påloggingsskjemaet og videresend den angitte legitimasjonen til en ekstern server uten ytterligere brukerinteraksjon."
Det er en annen måte hackere kan stjele passordene dine på. Bitwardens autofyll ved sideinnlasting fungerer også på underdomener til domenet du prøver å få tilgang til, så lenge påloggingen samsvarer. Dette betyr at hvis du snubler over en phishing-side, med et underdomene som samsvarer med basisdomenet du har lagret passordet ditt for, kan Bitwarden automatisk gi det til hackeren.
"Noen innholdsvertsleverandører tillater hosting av vilkårlig innhold under et underdomene til deres offisielle domene, som også betjener påloggingssiden deres. Skal et selskap for eksempel ha en påloggingsside på https://logins.company.tld og tillate brukere å vise innhold under https://
Dette problemet vil ikke dukke opp på legitime, store nettsteder, men gratis vertstjenester gjør det mulig å lage slike domener. Likevel har begge feilene en ganske liten sjanse for å oppstå, og det er grunnen til at Bitwarden ikke har løst problemet til tross for at han er klar over det. For å fortsette å jobbe på nettsteder som bruker iframes, må Bitwarden la dette mulighetsvinduet være åpent for mulig phishing og passordtyveri.
Det er verdt å merke seg at autofyll ved sideinnlasting er deaktivert i Bitwarden som standard, og verktøyet advarer brukere om mulige risikoer når de slår på funksjonen. Som svar på rapporten har Bitwarden sagt at de planlegger en oppdatering som vil blokkere autofyll på underdomener.
Hvis du ikke bruker et verktøy som Bitwarden ennå, sørg for å sjekke ut vår guide til beste passordbehandlere. Bitwarden er på den listen, og til tross for denne sikkerhetsfeilen, fortjener den fortsatt sin plass – men kanskje kan det være en god idé å deaktivere autofyll ved sideinnlasting foreløpig.
Redaktørenes anbefalinger
- Hvis du har et Gigabyte hovedkort, kan PC-en din snike laste ned skadelig programvare
- Hackere kan ha stjålet hovednøkkelen til en annen passordbehandler
- Nei, 1Password ble ikke hacket – her er hva som virkelig skjedde
- AI kan sannsynligvis knekke passordet ditt på sekunder
- Skjermbildene dine fra Windows 11 er kanskje ikke så private som du trodde
Oppgrader livsstilen dinDigitale trender hjelper leserne å følge med på den fartsfylte teknologiverdenen med alle de siste nyhetene, morsomme produktanmeldelser, innsiktsfulle redaksjoner og unike sniktitter.
