研究发现密码管理工具的严重安全缺陷

安全
WinterIsComing (31822)发表于 2014年07月15日 17时25分 星期二
来自记在纸条上部门
加州伯克利的研究人员发现了流行密码管理工具的严重安全缺陷。他们将在下个月举行的安全会议上公开报告(PDF)。
研究人员检查了LastPass和其它四个基于Web的密码管理器,发现它们都存在致命缺陷,允许攻击者远程从用户密码库提取出明文密码。LastPass和三家密码管理器已经修正了漏洞。这一发现敲响了警钟,如果学术研究人员能找到破解密码管理器的方法,那么那些经常窃取用户银行账户的骇客应该也能做到。研究人员说,密码管理器的漏洞将允许攻击者一次性的窃取密码库中的所有密码,因此密码管理器的流行将恶化问题。他们在LastPass发现了一个最严重漏洞,密码管理器的书签功能用于自动在网站上填写密码,书签功能的一个bug允许一个网站上嵌入的恶意代码可以窃取其它网站的凭证。攻击者能利用该漏洞入侵使用LastPass登录的用户,只要用户点击书签,攻击者可悄悄窃取属于其它网站的明文密码。

「星期二」 Hello Tuesday

研究发现密码管理工具的严重安全缺陷

加州伯克利的研究人员发现了流行密码管理工具的严重安全缺陷。他们将在下个月举行的安全会议上公开报告(PDF)。 研究人员检查了LastPass和其它四个基于Web的密码管理器,发现它们都存在致命缺陷,允许攻击者远程从用户密码库提取出明文密码。LastPass和三家密码管理器已经修正了漏洞。这一发现敲响了警钟,如果学术研究人员能找到破解密码管理器的方法,那么那些经常窃取用户银行账户的骇客应该也能做到。研究人员说,密码管理器的漏洞将允许攻击者一次性的窃取密码库中的所有密码,因此密码管理器的流行将恶化问题。他们在LastPass发现了一个最严重漏洞,密码管理器的书签功能用于自动在网站上填写密码,书签功能的一个bug允许一个网站上嵌入的恶意代码可以窃取其它网站的凭证。攻击者能利用该漏洞入侵使用LastPass登录的用户,只要用户点击书签,攻击者可悄悄窃取属于其它网站的明文密码。

WinterIsComing 发表于

2014年07月15日 17时25分