door Martin Brinkmann op 20 februari 2019 in de Beveiliging – 2 reacties
Wat zou het resultaat zijn als je analyseert hoe populair wachtwoord managers het beschermen van gevoelige informatie, zoals de master-wachtwoord of opgeslagen wachtwoorden; dat is wat de Onafhankelijke Security Beoordelaars probeerde te vinden in hun analyse van de vijf populaire wachtwoord managers die worden uitgevoerd op Microsoft ‘ s Windows-10-platform.
Het papier Wachtwoord Managers: Onder de Motorkap van de Geheimen van het Management gekeken naar hoe het wachtwoord managers 1Password, Dashlane, KeePass en LastPass handvat geheimen, en als het mogelijk is, het ophalen van gevoelige informatie.
De onderzoekers analyseerden de drie staten “niet actief”, “vrij staat”, en “vergrendeld”. Belangrijkste conclusies waren dat alle wachtwoord managers beschermde gegevens prima in niet rijklare staat.
Niet uitgevoerd verwijst specifiek naar een sessie waarin het geïnstalleerd password manager is niet gestart of beëindigd door de gebruiker na de lancering.
Vergrendelde toestand beschrijft een toestand waarin het master password is nog niet ingevoerd of dat de password manager is vergrendeld door de gebruiker of automatisch.
De onderzoekers ontdekten dat alle wachtwoord managers gelekte gegevens in ontgrendeld en vergrendeld staat onder bepaalde omstandigheden. Het wachtwoord managers 1Password en LastPass gelekt van de Master-Wachtwoord in ontgrendeld en vergrendeld staat, Dashlane alle opgeslagen gegevens, en KeePass wachtwoorden en andere gevoelige informatie die de gebruiker heeft gecommuniceerd.
De onderzoekers merkten op dat alle wachtwoord managers waren gevoelig voor keylogging of klembord snuiven aanvallen.
Hoe ernstig zijn de problemen?
De ontdekte problemen in het wachtwoord managers geluid zeer ernstig op het eerste gezicht. Het lekken van gevoelige gegevens is zeker een probleem en sommige bedrijven kan zeker beter doen als het er op aan komt.
Het goede nieuws is dat de aanslagen moeten lokale toegang of toegang hebben tot een in gevaar gebracht systeem om het probleem te exploiteren. Het is bovendien noodzakelijk om het doel specifiek probleem dat zou alleen zinvol zijn voor gerichte aanvallen of als wachtwoord gebruik loopt op tot een punt waar het lucratief genoeg om het probleem te exploiteren.
In het geval van KeePass, de gebruiker heeft interactie met wachtwoorden voor hen te worden blootgesteld in het systeem geheugen.
De auteur van KeePass opgemerkt enige tijd geleden dat het Windows-besturingssysteem kunnen maken van kopieën in het geheugen dat KeePass heeft geen controle over.
Windows en .NETTO mag kopieën maken van de gegevens (in het proces-geheugen) kunnen niet worden gewist met KeePass.
Bescherming
KeePass gebruikers kunnen bovendien de beveiliging van hun gegevens tegen aanvallen door het maken van veranderingen aan de applicatie voorkeuren.
- Ga naar extra > Opties > Beveiliging.
- Controleer de “Lock werkruimte na KeePass inactiviteit” en stel de gewenste periode, bijvoorbeeld 300 seconden.
- Controleer de “Lock werkruimte na het wereldwijde inactiviteit van de gebruiker (seconden)” en stel deze in een gewenste periode, bijvoorbeeld 300 seconden.
- Zorg ervoor dat “Klembord auto-wissen van tijd (seconden, main entry list)” is aangevinkt.
- Controleer de “Altijd verlaten in plaats van het vergrendelen van de werkruimte” optie. De optie eindigt KeePass in plaats van deze te vergrendelen.
Deze instellingen sluiten KeePass automatisch op inactiviteit en beschermen van al uw data tegen onbevoegde geheugen snuffelen. Het nadeel is dat je moet het programma opnieuw start wanneer u het nogmaals.
Check out mijn gids op het verbeteren van KeePass veiligheid hier.
KeePass gebruikers kunnen ook overwegen om KeePass in een sandbox, bijv. door gebruik van Sandboxie, of virtuele omgeving.
Ik maak geen gebruik van de andere wachtwoord managers en kan niet zeggen of ze bieden vergelijkbare functionaliteit.
Nu Jij: Wat is mijn wachtwoord manager gebruik je?