این سوء استفاده عظیم مدیر رمز عبور ممکن است هرگز برطرف نشود

چند ماه بد برای مدیران رمز عبور بوده است – البته بیشتر فقط برای LastPass. اما پس از افشای این موضوع که LastPass دچار یک نقض بزرگ شده است، اکنون توجه به مدیر منبع باز KeePass معطوف شده است.

ادعاهایی وجود دارد مبنی بر اینکه یک آسیب پذیری جدید به هکرها اجازه می دهد تا به طور مخفیانه کل پایگاه داده رمزهای عبور کاربر را در متن ساده رمزگذاری نشده سرقت کنند. این یک ادعای فوق العاده جدی است، اما توسعه دهندگان KeePass با آن مخالفت می کنند.

KeePass یک مدیر رمز عبور منبع باز است که محتوای خود را به جای در فضای ابری مانند پیشنهادات رقیب، در دستگاه کاربر ذخیره می کند. با این حال، مانند بسیاری از برنامه های دیگر، صندوق رمز عبور آن را می توان با رمز عبور اصلی محافظت کرد.

این آسیب‌پذیری که با نام CVE-2023-24055 گزارش شده است، برای هر کسی که دسترسی نوشتن به سیستم کاربر دارد، در دسترس است. هنگامی که این مورد به دست آمد، تهدید می تواند دستوراتی را به فایل پیکربندی KeePass XML اضافه کند که به طور خودکار پایگاه داده برنامه – شامل همه نام های کاربری و رمزهای عبور – را به یک فایل متنی ساده رمزگذاری نشده صادر می کند.

به لطف تغییرات ایجاد شده در فایل XML، کل فرآیند به طور خودکار در پس‌زمینه انجام می‌شود، بنابراین به کاربران هشدار داده نمی‌شود که پایگاه داده آنها صادر شده است. عامل تهدید سپس می تواند پایگاه داده صادر شده را در رایانه یا سروری که کنترل می کند بازیابی کند.

بهتر نمی شود

با این حال، توسعه‌دهندگان KeePass طبقه‌بندی این فرآیند را به‌عنوان یک آسیب‌پذیری مورد مناقشه قرار دادند، زیرا هر کسی که دسترسی نوشتن به یک دستگاه داشته باشد، می‌تواند با استفاده از روش‌های مختلف (گاهی ساده‌تر) پایگاه داده رمز عبور را دریافت کند.

به عبارت دیگر، هنگامی که شخصی به دستگاه شما دسترسی داشته باشد، این نوع بهره برداری XML غیر ضروری است. مهاجمان می توانند یک کی لاگر را نصب کنند تا رمز عبور اصلی را به دست آورند. خط استدلال این است که نگرانی از این نوع حمله مانند بستن درب پس از پیچ شدن اسب است. اگر یک مهاجم به رایانه شما دسترسی داشته باشد، رفع سوء استفاده XML کمکی نخواهد کرد.

توسعه دهندگان ادعا می کنند که راه حل این است که “ایمن نگه داشتن محیط (با استفاده از نرم افزار ضد ویروس، فایروال، باز نکردن پیوست های ایمیل ناشناخته و غیره)”. KeePass نمی تواند به طور جادویی به طور ایمن در یک محیط ناامن کار کند.

چه کاری می توانی انجام بدهی؟

در حالی که به نظر می رسد توسعه دهندگان KeePass تمایلی به رفع مشکل ندارند، مراحلی وجود دارد که می توانید خودتان انجام دهید. بهترین کاری که می توانید انجام دهید این است که یک فایل پیکربندی اجباری ایجاد کنید. این کار بر سایر فایل های پیکربندی ارجحیت دارد و هرگونه تغییر مخرب ایجاد شده توسط نیروهای خارجی (مانند مواردی که در آسیب پذیری صادرات پایگاه داده استفاده می شود) را کاهش می دهد.

همچنین باید اطمینان حاصل کنید که کاربران عادی به فایل‌ها یا پوشه‌های مهم موجود در پوشه KeePass دسترسی ندارند و فایل KeePass.exe و فایل پیکربندی اجباری در یک پوشه قرار دارند.

و اگر در ادامه استفاده از KeePass احساس راحتی نمی کنید، گزینه های زیادی وجود دارد. سعی کنید به یکی از بهترین مدیران رمز عبور بروید تا اطلاعات ورود و کارت اعتباری خود را ایمن تر از همیشه حفظ کنید.

در حالی که بدون شک این خبر بدتری برای دنیای مدیران رمز عبور است، اما این برنامه ها همچنان ارزش استفاده را دارند. آنها می توانند به شما در ایجاد رمزهای عبور قوی و منحصر به فرد کمک کنند که در همه دستگاه های شما رمزگذاری شده است. این بسیار ایمن تر از استفاده از “123456” برای هر حساب است.

اخبار فناوری امروز که برای صندوق ورودی شما تنظیم و فشرده شده است

ایمیل خود را چک کنید!

لطفاً برای ادامه یک آدرس ایمیل معتبر ارائه دهید.

این آدرس ایمیل در حال حاضر ثبت شده است. اگر خبرنامه دریافت نمی کنید، لطفاً پوشه اسپم خود را بررسی کنید.

با عرض پوزش، در حین اشتراک خطایی رخ داد. لطفاً بعداً دوباره امتحان کنید.

توصیه های سردبیران