Managerul de parole al browserului în conexiunea HTML conține o vulnerabilitate gravă. Problema nu a fost rezolvată de ani de zile.
În urmă cu doi ani, dezvoltatorul Eliott Kember a subliniat o eroare care a permis oricui să afle (stocate) parolele către site-urile web de pe un computer. Dezvoltatorul a venit apoi cu informațiile că, datorită browserului Chrome, este posibil să obțineți parole fără așa-numitul stăpâniți parolele și din alte browsere. La acea vreme, Google a spus că este în regulă. La scurt timp după aceea, condiția pentru afișarea parolelor care necesită o parolă principală a fost adăugată și la Google Chrome. Aceasta este de obicei parola pe care o folosim pentru a ne autentifica. Cu toate acestea, acest lucru este de mică valoare.
Funcția de gestionare a parolelor se află în browsere de mult timp, dar este șocant faptul că nimeni nu a informat utilizatorii că, prin simpla schimbare a șirului de pe pagină, vom dezvălui parola! Nu avem nevoie de nicio parolă principală, care este literalmente „mascaradă” în browsere. Este adevărat că vulnerabilitatea nu afectează toate site-urile, dar este, de exemplu, Facebook, forumuri pe Internet sau unele jocuri web. De exemplu, am încercat site-ul Rockstar Social sau câteva cutii poștale slovace precum Azet sau Pobox, parola poate fi obținută pentru fiecare dintre ele. Interesant este că și Gmail este afectat, dar parola trebuie salvată de mai multe ori. Probabil pentru că Google folosește un alt tip de conectare. Site-urile care folosesc propriul sistem de autentificare sau ferestrele pop-up nu sunt afectate. Funcția de completare automată nu funcționează pentru aceste site-uri. Probabil pentru că nu am putut folosi vulnerabilitatea în mai multe încercări. Cu toate acestea, marea majoritate a site-urilor (inclusiv serviciile bancare pe internet) vor fi afectate.
Am creat un e-mail de test pentru un eșantion.
Acesta este următorul șir:
Care se schimbă doar în:
Desigur, șirul poate avea și o formă ușor diferită. Prin urmare, este necesar să se poată identifica corect lanțul vulnerabil. Pe de altă parte, chiar și un utilizator ușor avansat se poate descurca. Acest lucru se datorează faptului că valoarea „parolă” se găsește doar de câteva ori (aproximativ 3-9) pe o singură pagină web și durează câteva secunde pentru identificarea corectă.
Interesant este că AutoFill funcționează puțin mai bine la Opera (în comparație cu Google). Puteți utiliza această vulnerabilitate pentru a extrage mai puține parole din Opera. Un alt fapt interesant este că MS Edge nu suferă de această vulnerabilitate. Dacă editam un șir în Edge, browserul „a golit fereastra”. Cu toate acestea, parola introdusă era vizibilă (nu a fost cenzurată). Completarea automată, dar nu a aruncat parola în sine. Nu a existat nicio modalitate de a exporta parola din managerul de parole din Edge (nici Opera și nici Chrome nu pot exporta din Edge).
Trebuie adăugat că această vulnerabilitate poate fi exploatată numai dacă un atacator are acces direct la un computer sau acces la distanță. Este necesar să aveți grijă cu cine împrumutați computerul. O altă soluție (cea mai bună și probabil singura funcțională) nu este salvarea parolelor! Chrome vă permite să dezactivați completarea automată a parolelor, dar această setare poate fi activată cu ușurință fără o parolă principală. La Opera, această soluție nu funcționează. În urmă cu doi ani, o problemă similară a fost evidențiată în browserul Safari, care a făcut posibilă completarea automată a informațiilor de contact sau a cardurilor de credit.
În cele din urmă, am încercat Mozzila în cea mai recentă versiune și, la fel ca Edge, nu este posibil să exploatăm vulnerabilitatea aici. Din nou, este dezvăluit doar șirul specificat. În mod implicit, Mozzila afișează parole în manager fără o parolă principală, ceea ce este și absurd. Nu există nimic care să împiedice un atacator să exporte parole către alt browser.
În concluzie, aș dori să vă reamintesc din nou că singura protecție este să nu salvați parole sau să nu permiteți nimănui necunoscut PC-ului. Riscul pur și simplu nu merită. Este de necrezut că o astfel de eroare este încă găsită în browsere în 2015.