Protejatorii de parolă sunt în siguranță? Lista fiecărei încălcări majore

Dacă petreceți ceva timp pe Internet (și cine nu este în aceste zile?), Atunci probabil că aveți o mulțime de parole.


Aveți nevoie de o parolă de fiecare dată când vă conectați la conturile de social media, verificați soldul contului dvs. bancar sau comandați ceva de pe Amazon. Dacă aparțineți unui forum, rulați un site web sau chiar scrieți un blog, atunci aveți și mai multe parole.

parolă necesarăEste tentant să folosim aceeași parolă pentru fiecare dintre aceste site-uri web. La urma urmei, probabil că va trebui să vă conectați la zeci, dacă nu sute, de site-uri web pe parcursul unui an normal. Dacă aveți o parolă puternică, unică pentru fiecare dintre aceste site-uri web, cum ai putea să le amintești de toate?

Din păcate, prea multe persoane iau drumul ușor. Ei folosesc o parolă care este destul de evidentă, spun „Password123,”De exemplu, apoi folosiți-l pentru toate activitățile lor online. De ce este o idee atât de groaznică? pentru că dacă un hacker reușește să obțină parola pe chiar și un singur cont, atunci acestea au parola pentru toate conturile.

Poate nu îți vine să spui că este o afacere deosebit de mare dacă o parte nefastă este în măsură să se conecteze în profilul tău de Facebook, deși pot face ravagii dacă se întâmplă acest lucru. Cu toate acestea, dacă acea parolă le oferă acces la informațiile dvs. bancare, la numerele cardului dvs. de credit, la numărul SocialSecurity sau la orice altceva, atunci cu siguranță vă va interesa.

De ce parolele puternice sunt critice

În ultimii ani, multe site-uri web au început să instituie cerințe pentru parolele din ce în ce mai lungi și complexe. Este o durere pentru utilizator să vină și să-și amintească aceste parole, dar există motive întemeiate pentru a face acest lucru.

parola puternicaCu cât parolele tale sunt mai complexe și mai aleatorii, cu atât sunt mai greu de descoperit hackerii. Acum, imaginați-vă că aveți zeci de parole, una pentru fiecare dintre site-urile web pe care le frecventați. Acești hackeri nu vor ajunge atât de departe când trebuie să își dea seama de un lanț complet aleatoriu format din 12 sau mai multe litere, numere și caractere speciale. Problemele se înmulțesc doar prin utilizarea de parole unice pe fiecare cont online.

Acest tip de parolă este esențial pentru securitatea online. Odată ce un hacker și-a dat seama de parola dvs. prea simplă, o pot folosi singuri sau o pot vinde pentru mulți bani de pe piața neagră. Unii dintre acești cumpărători sunt incredibil de sofisticați. În câteva minute, identitatea dvs. este furată, ratingul dvs. de credit este eliminat și veți cheltui ani și mulți bani încercând să vă recuperați reputația.

Conform MIT Technology Review, crearea unei parole cu adevărat puternice înseamnă mai mult decât folosirea unei litere majuscule, a unui număr și a unui caracter special. Cu cât îți creezi mai mult parola și cu cât sunt mai multe caractere speciale pe care le folosește, cu atât ai șanse mai mari de a interacționa hackerii.

Hackerii au un software care rulează continuu și neobosit prin „ghicitori” cu parolă. Mai devreme sau mai târziu, pot să se atașeze de-a ta. Cu toate acestea, dacă parola este lungă, complexă și total aleatorie, atunci șansele sunt bune ca hackerul să meargă în căutarea unei pradă mult mai ușoare, care este disponibil în abundență.

Ce este un Manager de parolă?

Problema este că amintirea tuturor acestor parole incredibil de lungi, complicate și unice este o sarcină herculeană. Cine le poate ține pe toate drept? Acolo intră administratorii de parole.

cum funcționează managerul de paroleMajoritatea administratorilor de parole sunt concepute pentru a genera nenumărate parole puternice, aleatorii pentru utilizatorii individuali. Stochează aceste parole și le regăsesc atunci când vizitați fiecare site web.

De asemenea, este posibil ca aceste servicii să stocheze numerele cardului dvs. de credit, inclusiv codul CVV din trei cifre pe spate, împreună cu codurile PIN și răspunsurile dvs. la diverse întrebări de securitate. Toate aceste date sunt criptate într-o ofertă adresată hackerilor. Multe dintre aceste servicii utilizează hashing, care este în esență responsabil pentru conversia datelor obișnuite în șiruri de numere sau caractere cu o lungime predeterminată.

De fiecare dată când doriți să vizitați un site web unde va trebui să utilizați una dintre parolele dvs., vă conectați la „seif” de date pe care le-ați stocat anterior cu managerul dvs. de parole. Accesul se acordă printr-o singură parolă pentru serviciul manager.

Suna destul de convenabil, dar este esențial să nu încrezi prea mult managerii de parole. Aceste servicii nu sunt un glonț magic care vă va proteja de orice rău. Este încă înțelept să folosești un VPN asemănător NordVPN pentru toate navigările, autentificarea cu doi factori pentru anumite conturi extrem de valoroase și pentru a utiliza numai dispozitivele în care aveți încredere.

De fapt, s-ar putea să fiți înțelept să renunțați la un manager de parole.

De ce managerii de parolă pot fi riscanți

Administratorii de parole stochează toate datele dvs. sensibile, fie local, fie pe un cloud. În consecință, parolele dvs. se află într-o seif pe unitatea de stocare sau computer la domiciliu sau sunt păstrate de la distanță pe serverele managerului de parole..

Jucători cu nume mari din industrie ca Dashlane1Password și LastPass utilizați serverele lor pentru a stoca informațiile private în mod implicit. Acest lucru vă face mai convenabil să sincronizați toate datele stocate pe care le puteți avea cu toate dispozitivele.

hacking cu parolăAcum, aceste companii fac o mulțime de promisiuni cu privire la măsurile lor de securitate, dar asta nu îi face pe toți consumatorii confortabili. Imaginează-ți dacă toate aceste date incredibil de valoroase pe acel singur server au fost compromise de un hack. Deoarece ai pus toate ouăle într-un coș, tocmai ai pierdut controlul asupra vieții tale online.

Realitatea este că puțini hackeri pot rezista tentației de a trece peste sistemele avansate de securitate. Gândiți-vă la toate datele neprețuite pe care le-ar putea colecta cu un singur hack. Uneori, consolidarea nu este o manevră înțeleaptă.

Dacă într-adevăr nu-ți place gândul la stocarea în cloud pentru toate parolele, atunci poți opta pentru spațiul de stocare local. Dashlane face posibil acest lucru atunci când clienții aleg să dezactiveze funcția „Sincronizare”.

1Password le permite clienților să cumpere o licență software care le oferă controlul asupra locației lor. KeePass face posibilă stocarea datelor într-un seif care este criptat pe propriul dispozitiv.

Cu toate acestea, înainte de a intra cu ambele picioare pe aceste opțiuni, întrebați-vă cât de sigure sunt propriile măsuri de securitate electronică? Este posibil ca un hacker să poată trece prin intermediul acestora pentru a lua toate parolele de pe propriul dispozitiv?

Încălcări de securitate despre care trebuie să știți

Încălcările de securitate enumerate nu sunt teoretice. Multe dintre ele s-au întâmplat. Înainte de a decide dacă folosirea unui administrator de parole are sens sau nu, ține cont de aceste încălcări.

Breach la OneLogin

Managerul de parolă OneLogin a dezvăluit în iunie 2017 că a suferit un hack. Incidentul pe scară largă a afectat toți clienții companiei ale căror date au fost stocate în centrul de date din S.U.A..

Într-un comunicat de presă, OneLogin a scris că, de atunci, am blocat acest acces neautorizat, am raportat problema forțelor de ordine și lucrăm cu o firmă de securitate independentă pentru a stabili cum s-a întâmplat accesul neautorizat. "

LastPass raportează o încălcare

Un alt hacker destul de infam al managerului de parole s-a produs la LastPass. Acest lucru a fost raportat în aprilie 2017, iar compania a descris-o ca fiind o problemă „unică și extrem de sofisticată”. Implicația este că LastPass folosește astfel de tehnici avansate de criptare și măsuri de securitate, încât situația este atotcuprinzabilă și nu ar putea să apară din nou.

Problema a fost identificată de Tavis Ormandy, un cercetător de securitate pentru Google Project Project Zero. Ormandy a descris problema ca fiind „arhitecturală”, continuând să spună că ar avea nevoie de timp semnificativ pentru a aborda.

În timp ce LastPass a lucrat pentru a corecta vulnerabilitatea, ei au sfătuit clienții să le folosească autentificare cu doi factori și pentru a evita toate legăturile suspecte.

Totuși, aceasta nu este singura întâmplare de care a suferit LastPass. În iunie 2015, compania a anunțat că serverele lor au avut o intruziune. LastPass a raportat că nu au fost furate parolele stocate și că hackerii nu au luat adrese de e-mail, memento-uri de parolă sau hash-uri de autentificare.

KeePass devine piratat - Un fel de

Disponibilitatea unui instrument poreclit „KeeFarce” în 2015 a făcut ca lucrurile să pară zemoase pentru KeePass. Deși acest instrument de hacker a fost vizat KeePass, este posibil ca instrumentul să poată fi modificat pentru a viza orice manager de parolă.

În esență, acest instrument a fost conceput pentru a viza computerele utilizatorilor, care în general nu au caracteristicile de securitate robuste pe care le folosesc managerii de parole. Instrumentul a fost capabil să decripteze toate numele de utilizator și parolele pe care utilizatorul le-a stocat cu KeePass. Toate datele au fost apoi scrise într-un fișier pe care hackerul l-ar putea accesa.

Acest instrument a fost conceput pentru a evidenția o problemă pe care o au toți administratorii de parole. Un computer infectat este un computer vulnerabil. Oricât de bun este un manager de parolă atunci când computerul utilizatorului este infectat cu un virus sau o altă problemă, protecția oferită de manager este obligată să fie compromisă. Trebuie să vă îmbunătățiți securitatea dacă doriți să beneficiați de un administrator de parole.

Păstrătorul prinde o eroare

detectarea erorilorÎn mai 2018, Keeper a anunțat că a remediat o eroare identificată de un cercetător de securitate. Cercetătorul a spus că este posibil ca eroarea să fi permis persoanelor neautorizate să acceseze datele private aparținând altui utilizator.

Eroarea a fost scoasă la iveală printr-o listă de dezvăluire pentru securitatea publică. În esență, listarea a spus că orice persoană care controlează serverul API al companiei ar putea accesa teoretic cheia de decriptare la seful parolelor aparținând oricărui utilizator. Sursa problemei era conținută de Keeper Commander, un script alimentat de Python care permite utilizatorilor să rotească parolele.

Bug de la Keeper a fost eliminat de atunci.

Descoperirile TeamSIK

În februarie 2017, cercetătorii care lucrează la Institutul Fraunhofer pentru Tehnologia Informației Secure și-au făcut publice concluziile după o examinare a celor nouă cele mai frecvent utilizate manageri de parole. Rezultatele nu au fost decât liniștitoare.

logo-ul echipei sikCercetătorii, cunoscuți sub numele de TeamSIK, și-au numit concluziile „extrem de îngrijorătoare”. Au afirmat chiar că aceste companii „abuzează de încrederea utilizatorilor și le expun la riscuri ridicate”.

Managerii de parole care au fost incluși în recenzie au fost 1Password, Avast Password, Hide Pictures Keep Safe Vault, Dashlane, F-Secure KEY, Keeper, LastPass, Informaticore Password Manager și My Password.

Fiecare manager din revizuire a avut cel puțin un defect de securitate. Cercetătorii au informat fiecare dintre companii despre descoperirile lor, iar problemele mot au fost rezolvate rapid. Totuși, nu se pare că fiecare companie ar fi trebuit să realizeze și să corecteze aceste probleme fără a avea nevoie de o sursă externă care să le cajoleze să ia măsuri?

În urma, utilizatorii au fost încurajați să se asigure că au fost corecți și folosind cele mai recente versiuni ale software-ului managerului de parole astfel încât aceștia obțineau întregul beneficiu al măsurilor de securitate actualizate.

Mai jos sunt câteva dintre detaliile / rapoartele specifice. Pentru detalii specifice, vă rugăm să deschideți fiecare raport.

MyPasswords 

  • Citiți Datele private ale aplicației My Password
  • Master Decryption Password of App My Password
  • Funcții premium gratuite Deblochează parolele mele

Informaticore Password Manager 

  • Stocare credențială nesigură în Mirsoft Password Manager

LastPass Password Manager 

  • Cheia principală hardcodată în Managerul de parolă LastPass
  • Confidențialitate, scurgeri de date în căutarea browserului LastPass
  • Citiți Data privată (Masterpassword stocată) de la LastPass Password Manager

Keeper Passwort-Manager 

  • Deținător Parolă de gestionare a întrebărilor de securitate
  • Injecția datelor Managerului Parola Manager fără parolă Master

F-Secure KEY Password Manager 

  • F-Secure KEY Password Manager Stocare credențială nesigură

Dashlane Password Manager 

  • Citiți datele private din folderul aplicațiilor din Managerul de parolă Dashlane
  • Scurgeri de informații de căutare Google în browserul Dashlane Password Manager
  • Atac de reziduuri Extragerea cuvântului principal de la Dashlane Password Manager
  • Scurgeri de parolă de subdomeniu în Browserul intern al Managerului de parole Dashlane

Ascunde imagini pentru păstrarea seifului sigur 

  • Depozitare parolă SKEepsafe Plaintext

Parole Avast 

  • Aplicație Parola Fura din Avast Password Manager
  • Furt de parolă de către site-ul Spoofed de la Avast Password Manager
  • Adrese URL implicite pentru site-uri populare din Avast Password Manager
  • Scurgerea parolelor din subdomeniu în Avast Password Manager
  • Implementare securizată de comunicare ruptă în Avast Password Manager
  • Adrese URL de testare internă în Avast Password Manager

1Password - Manager de parolă 

  • Scurgeri de parolă din subdomeniu în browserul intern 1Password
  • Https downgrade la URL-ul http în mod implicit în browserul intern 1Password
  • Titluri și adrese URL necriptate în baza de date 1Password
  • Citiți date private din folderul aplicației în 1Password Manager
  • Problemă de confidențialitate, informații pierdute la furnizor 1Password Manager

Tipuri de încălcări ale securității

Realitatea este că toți principalii manageri de parole au întâmpinat grave încălcări de securitate la un moment dat sau altul. Chiar dacă corectează problemele pe măsură ce sunt descoperite, se pare că noile scheme sunt întotdeauna la distanță. Acestea sunt câteva dintre încălcările de securitate la care sunt vulnerabili managerii de parole.

Phishingul - Majoritatea oamenilor au auzit despre scheme de phishing. Acestea implică un e-mail sau un mesaj text care este transmis trimis de o entitate sau o persoană de renume. Scopul este de a face ca o victimă neașteptată să dezvăluie date sensibile, precum numere de cont bancare, numere de cărți de credit și numere de securitate socială, în scopul de a înșela beneficiar.

fluxul de atac de phishing

Phishing-ul a fost folosit pentru fraudarea clienților managerilor de parole. În această schemă, clienților li se cere să se autentifice pe un site web din cauza unei sesiuni expirate. Când o fac, un site web confuziv similar pentru phishing este de fapt locul în care introduc datele lor private. Utilizatorul tocmai și-a oferit în mod voit parola secretă unui hacker.

Falsificare a cererii încrucișate - Adesea denumită CSRF, această schemă atrage oamenii să întreprindă acțiuni online neintenționate. Este angajat la utilizatorii autentificați într-o aplicație web. Partea nefastă trimite adesea un link prin e-mail pentru a induce victima să transfere fonduri sau să ia alte acțiuni potențial dăunătoare.

Scripturi cross-site - Cunoscut ca XSS, acest atac implică introducerea codului rău intenționat pe site-urile web cunoscute și de încredere.

Atacuri Brute-Force - Această încălcare de securitate implică un software automat care încearcă diverse combinații până când lovește o mină de aur a datelor, cum ar fi serverul managerului de parole.

parola de completare automatăVulnerabilitatea caracteristicilor de umplere automată - Utilizarea funcției de umplere automată de pe browserul web sau managerul de parole este tentantă, deoarece pare să ușureze totul. În realitate, nu faci decât să faci lucrurile mai ușor pentru infractorii cibernetici din întreaga lume. Este chiar folosit de agenții de publicitate.

Stocarea parolei principale în text simplu - Datorită faptului că administratorii de parole nu sunt neapărat cei mai buni gatekeepers ai datelor dvs. sensibile, un proiect de cercetare a descoperit faptul că unii manageri de parole stochează parolele principale ale clientului în text simplu, fără criptare..

Codul aplicației care conține cheile de criptare - În esență, propriul cod al aplicației expune cheile de criptare în cadrul codului în sine. Este o zi de câmp pentru hackeri când este descoperită această vulnerabilitate.

Clipboard Sniffing sau hijacking - Această încălcare permite infractorilor să obțină acreditări care au fost copiate în memoria PC-ului, astfel încât să poată fi inserate într-o interfață pentru introducerea parolei.

Defecțiuni integrate ale browserului Web - Unii manageri de parole sunt, de asemenea, browsere, a căror utilizare ar trebui să mențină clienții în siguranță online. Cu toate acestea, cu un manager de parolă imperfect - care sunt cu toții, se înmulțesc posibilitatea defectelor.

Atac de reziduuri de date - Utilizatorii care șterg aplicațiile de pe dispozitivele lor nu elimină neapărat toate urmele acestora. Unii hackeri atacă „reziduul” care rămâne în urmă. Doar măsurile de securitate cu adevărat solide îi păstrează de fapt pe infractori.

atacuri cibernetice din interiorInsider Hacking - Nu presupuneți că sunteți în siguranță doar pentru că utilizați un computer al companiei. Unele hacks sunt o muncă interioară care este perpetuată de un coleg. Este la fel de adevărat la birourile administratorilor de parole. De unde știi că poți avea încredere în angajații furnizorului tău?

Informațiile scurg prin memoria de schimb - Majoritatea computerelor au memorie principală și stocare secundară. Fiecare proces pe care computerul îl realizează primește atât de multă memorie cât cere. Procesele active sunt stocate în memoria principală. Procesele adormite sunt împinse spre stocare secundară. Atunci când un anumit proces începe să mănânce tone de memorie, mai multe articole sunt împinse la stocarea secundară. Performanța sistemului se deteriorează, iar încheierea procesului de scurgere poate să nu însemne că procesele care au fost împinse la stocarea secundară sunt schimbate imediat. Orice a fost subcontractat stocării secundare poate fi vulnerabil la atac.

Ce rezerva viitorul?

După cum am menționat, cei nouă cei mai cunoscuți manageri de parole au rezolvat de atunci toate aceste probleme. Cu toate acestea, ce alte probleme pot fi la pământ? Unele dintre vulnerabilitățile descoperite de TeamSIK ar fi trebuit să fie destul de evidente, însă niciuna dintre aceste companii nu a fost conștientă de ele. A fost nevoie de o terță parte independentă pentru a descoperi aceste probleme și a le scoate la iveală. Puteți avea încredere într-un manager de parole cu cele mai sensibile date?

Brayan Jackson Administrator
Candidate of Science in Informatics. VPN Configuration Wizard. Has been using the VPN for 5 years. Works as a specialist in a company setting up the Internet.
follow me
Like this post? Please share to your friends:
Leave a Reply

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!:

− 5 = 2

map