Популярные менеджеры паролей "врут", что не видят ваших хранилищ: эксперимент

Исследователи узнали, что популярные менеджеры паролей могут видеть или даже похищать содержимое хранилищ при определенных условиях. Они проверили несколько крупных сервисов и пришли к выводу, что обещания о «нулевом раскрытии информации» не всегда работают так, как надо.

Менеджеры паролей давно стали массовым инструментом безопасности. Десятки миллионов людей хранят там не только пароли, но и финансовые данные, криптокошельки и карты. Большинство сервисов уверяет, что даже если их серверы взломают, данные в хранилищах останутся недоступными. Например, в Bitwarden говорят, что «даже команда Bitwarden не может прочитать ваши данные». В Dashlane подчеркивают, что без главного пароля «злоумышленники не смогут украсть информацию, даже если серверы скомпрометированы». А LastPass заявляет, что доступ к хранилищу имеет только сам пользователь

Но исследование показало другую картину. Ситуация меняется не в пользу юзера, особенно когда включены функции восстановления доступа или совместного пользования. Исследователи из ETH Zurich и USI Lugano выяснили, что взломанный или контролируемый хакером сервер может получить доступ к данным, а иногда и ко всему хранилищу. Они также описали примеры атак.

Конкретные менеджеры паролей — какие проблемы чаще всего встречались

Во многих атаках все сводится к тому, что сервер подменяет ключи или настройки, которые получает клиент. Если сервер контролирует хакер, он может подсунуть свои ключи и получить доступ к зашифрованным данным. Самые опасные сценарии позволяют не только читать, но и изменять хранилище в Bitwarden и LastPass. Часто это связано с механизмами восстановления аккаунта, которые используют, когда пользователь забыл пароль.

Есть отдельный сценарий, когда нового пользователя приглашают в семью или организацию. Во время регистрации клиент получает ключи от сервера и использует их, чтобы зашифровать данные для восстановления доступа. Если хакер подменит открытый ключ группы своим, он сможет расшифровать эти данные и восстановить аккаунт от имени жертвы. После принятия приглашения хакер получает полный контроль над хранилищем пользователя.

Атака часто срабатывает, когда включено автоматическое восстановление доступа. Проблема в том, что система не проверяет, действительно ли этот режим разрешен — поэтому хакер может навязать автоматическое восстановление даже тогда, когда администратор выбрал ручное. А получив ключ группы, злоумышленник может проникать и в другие группы, где есть общие пользователи.

Еще одна атака касается обновления ключей доступа, которое советуют делать при подозрении на взлом пароля. Когда клиент синхронизируется с сервером, он получает открытый ключ организации. Если хакер подменит его своим, то сможет расшифровать новый ключ пользователя и получить доступ к данным. Сервис LastPass имел похожую проблему. Представьте сценарий, где суперадминистратор сбрасывает ключ участника, клиент получает список ключей администраторов и шифрует ими новый ключ. Если они не проверяются, их можно подменить. Атака работает через браузерное расширение и открывает путь к краже данных.

Еще немало атак связаны с общими записями. Когда пользователь делится им, создаются новые ключи для доступа. Если сервер подменяет эти ключи, он может читать и изменять все общие записи. Подобные сценарии возможны в Bitwarden, Dashlane и LastPass.

Что еще может стать причиной похищения данных?

Отдельная проблема — поддержка старых версий клиентов. Чтобы пользователи не потеряли доступ к хранилищам, сервисы сохраняют совместимость с менее защищенными схемами шифрования. Это позволяет злоумышленнику принудительно снизить уровень защиты и воспользоваться более слабыми алгоритмами, например CBC, который уязвим к известным атакам.

Кроме того, сервер способен резко уменьшить количество циклов проверки пароля. Вместо стандартных 600 000 итераций он может установить всего 2, что ускоряет взлом хэша примерно в 300 тыс. раз. Однако клиенты доверяют этой процедуре и не проверяют нюансы.

Есть еще один сценарий, связанный с тем, как работают хранилища. Менеджеры паролей часто шифруют не все сразу, а отдельные записи или даже поля. Это позволяет, например, вместо URL сайта можно вставить зашифрованный пароль. Клиент расшифрует его и отправит на сервер, думая, что это URL для иконки. В результате пароль незаметно оказывается на сервере.

Какой вывод исследования?

С одной стороны исследователи согласились, что полностью контролировать сервер сложно. Однако считают такой сценарий реалистичным, учитывая атаки на цепи поставок, фишинг или действия государственных хакеров.

Компании ответили, что описанная угроза слишком преувеличена и исходит из предположения, что сервер полностью работает против пользователя. Они заявляют, что регулярно проводят проверки безопасности, тестирование на проникновение и имеют программы вознаграждений за найденные баги. В 1Password, например, сказали, что не увидели новых способов атак, не описанных в их документации. Хотя одновременно признали: если сервер будет взломан, он теоретически может подменять открытые ключи и получать ключи для шифрования хранилищ

В итоге исследователи не отрицают удобство использования таких сервисов или призывают перестать ими пользоваться. Однако сам термин «нулевое раскрытие информации» больше похож на рекламу. Главный автор работы напоследок добавил, что разные компании вкладывают в этот термин разный смысл, поэтому его сложно воспринимать как четкую гарантию безопасности.

Источник: ARS Technica