Менеджери паролів давно позиціонуються як зручний спосіб безпечно зберігати численні облікові дані. Однак нове дослідження показало, що деякі з таких сервісів можуть мати серйозні проблеми із захистом.
Фахівці з ETH Zurich разом із дослідниками з Università della Svizzera italiana протестували кілька популярних платформ для керування паролями й виявили критичні вразливості.
⚠️ У чому полягає проблема
Під час дослідження команда виявила серйозні недоліки безпеки, які потенційно дозволяють:
- переглядати збережені паролі
- змінювати їх без відома користувача
- отримувати доступ до конфіденційних даних
Дослідники зазначають, що деякі системи використовували криптографічні механізми ще з 1990-х років, які сьогодні можуть бути легко зламані сучасними інструментами.
🧠 Як може відбуватися атака
За словами дослідника Matteo Scarlata, для таких атак не потрібні потужні суперкомп’ютери.
Достатньо невеликої програми, яка здатна імітувати сервер менеджера паролів, щоб отримати доступ до сховища даних.
Через те, що менеджери паролів містять велику кількість конфіденційної інформації, вони можуть бути особливо привабливою ціллю для досвідчених кіберзлочинців.
Професор Kenneth Paterson зазначає, що зловмисники можуть спробувати проникнути на сервери сервісів і запускати атаки вже звідти.
⏳ Реакція розробників
Дослідники повідомили постачальників програмного забезпечення про знайдені проблеми та надали їм 90 днів для виправлення вразливостей, перш ніж оприлюднювати результати дослідження.
За словами команди, більшість компаній були готові співпрацювати та працювати над усуненням недоліків. Проте деякі постачальники діяли повільніше.
Однією з причин затримок стало побоювання, що оновлення системи захисту може тимчасово позбавити користувачів доступу до збережених паролів.
📌 Чому це важливо
Менеджери паролів стали популярними через складні вимоги до безпеки облікових записів:
- унікальні паролі для кожного сервісу
- поєднання великих і малих літер
- використання цифр і спеціальних символів
- регулярна зміна паролів
Такі сервіси обіцяють зберігати всі ці дані у зашифрованому «сховищі», доступ до якого відкривається через один головний пароль.
Однак результати дослідження показують, що навіть такі системи можуть мати слабкі місця — а отже, потребують постійного аудиту безпеки та оновлення криптографічних механізмів.
