Hackere kan ha hovednøkkelen til en annen passordbehandler

De beste passordbehandlere er ment å holde alle dine pålogginger og kredittkortinformasjon trygge og sikre, men en stor ny sårbarhet har nettopp satt brukere av KeePass passordbehandler i alvorlig fare for å bli brutt.

Faktisk lar utnyttelsen en angriper stjele hovedpassordet til en KeePass-bruker i ren tekst – med andre ord i ukryptert form – ganske enkelt ved å trekke det ut fra måldatamaskinens minne. Det er et bemerkelsesverdig enkelt hack, men et som kan ha bekymringsfulle implikasjoner.

Passordadministratorer som KeePass låser all påloggingsinformasjonen din for å holde den trygg, og alle disse dataene er forseglet bak et hovedpassord. Du skriver inn hovedpassordet ditt for å få tilgang til alt som er lagret i hvelvet ditt, noe som gjør det til et verdifullt mål for hackere.

Som rapportert av Blødende datamaskin, ble KeePass-sårbarheten oppdaget av sikkerhetsforsker 'vdohney', som publiserte et proof-of-concept (PoC)-verktøy på GitHub. Dette verktøyet er i stand til å trekke ut nesten hele hovedpassordet (unntatt de første en eller to tegnene) i lesbar, ukryptert form. Det kan til og med gjøre dette hvis KeePass er låst, og potensielt hvis appen er stengt helt.

Det er fordi det trekker ut hovedpassordet fra KeePass sitt minne. Som forskeren forklarer, kan dette oppnås på en rekke måter: "Det spiller ingen rolle hvor minne kommer fra — kan være prosessdump, byttefil (pagefile.sys), dvalefil (hiberfil.sys) eller RAM dump av hele systemet."

Utnyttelsen eksisterer takket være en egendefinert kode KeePass bruker. Når du skriver inn hovedpassordet ditt, gjør du det i en egendefinert boks kalt SecureTextBoxEx. Til tross for navnet, viser det seg at denne boksen er det ikke så sikker tross alt, siden hvert tegn som skrives inn i boksen i hovedsak etterlater en gjenværende kopi av seg selv i systemet hukommelse. Det er disse restkarakterene som PoC-verktøyet finner og trekker ut.

En løsning kommer

Det eneste forbeholdet til dette sikkerhetsbruddet er at det krever fysisk tilgang til maskinen som hovedpassordet skal trekkes ut fra. Men det er ikke nødvendigvis alltid et problem - som vi har sett i LastPass utnyttelse saga, kan hackere få tilgang til et måls datamaskin ved å bruke sårbare apper for ekstern tilgang installert på datamaskinen.

Hvis en måldatamaskin ble infisert med skadelig programvare, kan den konfigureres til å dumpe KeePass-minnet og sende både det og appens database tilbake til hackerens egen server, slik at trusselaktøren kan trekke ut hovedpassordet på egen hånd tid.

Heldigvis sier utvikleren til KeePass at det kommer en retting, med en av de mulige løsningene er å sette inn tilfeldig dummy-tekst i appens minne som vil tilsløre passordet. Reparasjonen forventes ikke å bli utgitt før i juni eller juli 2023, noe som kan være en smertefull ventetid for alle som er nervøse for at hovedpassordet deres skal lekke. Utvikleren har imidlertid også gitt ut en betaversjon av rettelsen, som kan lastes ned fra KeePass-nettstedet.

Sårbarheten viser bare at selv tilsynelatende sikre apper som passordbehandlere kan brytes, og det er ikke første gang en alvorlig svakhet er funnet i KeePass. Hvis du vil beskytte deg mot trusler på nettet som denne siste utnyttelsen, unngå nedlasting apper eller åpne filer fra ukjente avsendere, hold unna tvilsomme nettsteder og bruk et antivirus app. Og, selvfølgelig, del aldri passordbehandlerens hovedpassord med noen.

Redaktørenes anbefalinger

• Ransomware-angrep har økt kraftig. Slik holder du deg trygg
• Skaper ChatGPT et mareritt for nettsikkerhet? Vi spurte ekspertene
• Hackere bruker et utspekulert nytt triks for å infisere enhetene dine
• Nei, 1Password ble ikke hacket – her er hva som virkelig skjedde
• Denne Bing-feilen lar hackere endre søkeresultater og stjele filene dine

Oppgrader livsstilen dinDigitale trender hjelper leserne å følge med på den fartsfylte teknologiverdenen med alle de siste nyhetene, morsomme produktanmeldelser, innsiktsfulle redaksjoner og unike sniktitter.