Mať silné a ľahko zapamätateľné heslá je základom pri používaní akejkoľvek online služby, bankového účtu či sociálnych sietí. Bezpečnostní odborníci už dlhodobo odporúčajú používať overeného správcu hesiel, ktorý ponúka ich bezpečné uloženie pekne na jednom mieste. Takéto aplikácie sa považujú za bezpečné a určite sú vhodnejšie ako zapisovať si heslá niekam na papier alebo do poznámok.
Správcovia hesiel sú bezpeční, ale…
Objavila sa však nová zraniteľnosť, ktorú by mohli potenciálne zneužiť hackeri a dostať sa do vášho účtu. Zraniteľnosť objavili bezpečnostní výskumníci z Thehackernews a týka sa viacerých obľúbených správcov hesiel, ktoré sú založené na ktoré sú založené na DOM (Document Object Model).
Títo správcovia hesiel majú celkovo viac ako 40 miliónov používateľov na celom svete, ktorí sa môžu stať potenciálnymi terčmi hackerov. Mnohí z nich ešte bezpečnostnú chybu neopravili, preto sa odporúča mimoriadna opatrnosť.
Clickjacking v hlavnej úlohe
Samotná zraniteľnosť je známa ako clickjacking. Používateľ je pri takomto útoku podvedený, aby klikol na niečo iné, na čo si myslí, že kliká. Útočník typicky prekryje alebo skryje určité prvky webovej stránky, čím obeť donúti vykonať akciu, ktorú potrebuje. Napríklad odoslať formulár, previesť peniaze a podobne.
Konkrétne v tomto prípade môžu používatelia nechtiac zapnúť svojho správcu hesiel jedným falošným kliknutím, o ktorom ani nevedia. Hackeri môžu takto získať uložené heslá. Najhoršie na tom je, že takýto útok zostane väčšinou nepovšimnutý, používateľ nedostane žiadnu notifikáciu o tom, že niekto získal prístup k správcovi hesiel.
Zraniteľnosť bola vývojárom postihnutých aplikácií nahlásená už v apríli tohto roka, no približne polovica z nich na varovanie absolútne nereagovala. Ale napríklad taký Bitwarden poskytol novú verziu svojho pluginu, ktorý problém vyrieši.
Medzi najznámejšie patria tieto, no zraniteľnosť postihuje aj ďalšie nástroje:
- 1Password
- Bitwarden
- Dashlane
- Enpass
- iCloud Passwords
- Keeper
- LastPass
- LogMeOnce
- NordPass
- ProtonPass
- RoboForm
