Sou um grande defensor dos gerenciadores de senhas. É verdade que existem alternativas melhores para senhas, como chaves de acesso, mas se um provedor não oferece nada além de opções de senha, o que é o caso de muitos, não há muito o que fazer a respeito. Portanto, por enquanto, parece que continuaremos presos às senhas.
Todos os gerenciadores de senhas respeitáveis afirmam que não podem ver suas senhas, mesmo que quisessem. Mas pesquisadores descobriram que esses gerenciadores de senhas em nuvem com “conhecimento zero” são mais vulneráveis do que seu marketing sugere.
Os pesquisadores também alertam que isso não é motivo para pânico imediato. Para que ocorra um vazamento total de senhas, seriam necessárias falhas raras e graves, como um servidor malicioso ou totalmente comprometido, combinadas com pontos fracos específicos de design e recursos habilitados.
O “problema” subjacente é que a maioria desses gerenciadores de senhas é baseada na nuvem. Isso é muito prático se você estiver trabalhando em outro dispositivo e precisar de acesso, mas também aumenta a superfície de ataque. Compartilhar suas senhas com outro dispositivo ou outro usuário abre a possibilidade de acesso indesejado.
Os pesquisadores testaram vários fornecedores diferentes, incluindo LastPass, Bitwarden e Dashlane, e criaram vários cenários de ataque que poderiam permitir a recuperação de senhas.
Pontos fracos
Gerenciadores de senhas com grupos de usuários
Em grupos, o compartilhamento de chaves de recuperação, chaves de grupo e chaves públicas de administrador geralmente significa que elas são obtidas do servidor sem garantia de autenticidade. Isso significa que, nas circunstâncias certas, um invasor poderia obter acesso.
Quando um administrador de grupo habilitou políticas como “recuperação automática ou manual”, é possível alterá-las silenciosamente usando um servidor comprometido, se não houver proteção de integridade no “blob de política” da organização (um pequeno arquivo de configuração).
Criptografia fraca em servidor comprometido
Seu gerenciador de senhas pega sua senha mestra e a processa várias vezes pelo PBKDF2 (por exemplo, 600.000 rodadas) antes de armazenar um hash. Mas, em um servidor comprometido, um invasor poderia reduzir o número de iterações para, digamos, 2, o que tornaria a senha mestra fácil de adivinhar ou quebrar por força bruta.
Opções de recuperação de conta
Em um servidor comprometido, um invasor poderia alterar o blob da política e mudar as configurações para “recuperação automática” e enviá-lo aos clientes. Mudar para a recuperação automática ajuda o invasor, pois permite que o sistema entregue suas chaves do cofre sem que ninguém precise clicar em “aprovar” ou mesmo perceber que isso está acontecendo.
Assim, o invasor pode transformar o que deveria ser um processo de emergência raro e visível para o usuário em um mecanismo silencioso e rotineiro que pode ser usado indevidamente para extrair chaves de cofre em grande escala ou de forma discreta e direcionada.
Compatibilidade .
Para evitar bloquear usuários em clientes antigos, os provedores continuam oferecendo suporte a hierarquias de chaves obsoletas e modos não AEAD (Criptografia Autenticada com Dados Associados), como CBC (Cipher Block Chaining), sem verificações de integridade robustas. Isso abre as portas para ataques clássicos de downgrade, nos quais o servidor induz um cliente a usar esquemas mais fracos e, então, recupera gradualmente o texto simples.
Como se manter seguro
Queremos enfatizar que esses ataques seriam muito direcionados e exigiriam um alto nível de comprometimento. Portanto, os gerenciadores de senhas na nuvem ainda são muito mais seguros do que a reutilização de senhas e planilhas, mas suas alegações de “conhecimento zero” não se sustentam diante de ataques do tipo nacional.
Após a divulgação responsável, muitos dos problemas já foram corrigidos ou mitigados, reduzindo o número de possíveis ataques.
Muitos dos ataques demonstrados exigem recursos específicos de nível empresarial (recuperação de conta, cofres compartilhados, associação à organização) ou clientes mais antigos/legados em uso. Portanto, tenha muito cuidado com eles.
Habilite a autenticação multifatorial para contas importantes, para que o invasor não tenha acesso apenas com a sua senha.
Não nos limitamos a relatar ameaças — ajudamos a proteger toda a sua identidade digital.
Os riscos de segurança cibernética nunca devem ir além das manchetes. Proteja suas informações pessoais e as de sua família usando proteção de identidade.
