Ако сте ползвали Kaspersky Password Manager за генериране на пароли, е добре да ги смените. Изследовател на сигурността установи, че приложението години наред е създавало пароли, които могат да бъдат налучкани за минути – в най-лошия случай нападателят трябва да опита едва около 100 варианта. Проблемът засяга пароли, генерирани преди октомври 2019 г.
Накратко
- Генераторът на пароли в Kaspersky Password Manager (KPM) е ползвал текущото системно време като начална стойност, затова паролите са били предвидими.
- Засегнати са пароли, създадени с по-стари версии – до октомври 2019 г.
- Обновете приложението до последната версия и сменете паролите, генерирани по-рано, особено за важни акаунти.
Какво е открил изследователят
Проблемите са описани от френския изследовател Жан-Батист Бедрюн (Jean-Baptiste Bédrune) от екипа Donjon на компанията Ledger, който публикува подробен технически анализ през юли 2021 г. Според него в генератора на пароли има два недостатъка. Те са довели до това, че генерираните данни за достъп са значително по-слаби, отколкото потребителят би очаквал от специализирано приложение за сигурност. За случая съобщи и ZDNet.
Първият недостатък е по-малко вероятно да е бил проблем на практика, защото помага само на нападател, който знае, че жертвата използва KPM. За да се противопостави на речникови атаки, приложението генерира пароли с групи от букви, които рядко се срещат в истински думи – например „qz“ или „zr“. Ако обаче атакуващият знае, че паролата е създадена с KPM, може да използва същите комбинации в груба атака (bruteforce), а това може да отнеме по-малко време от стандартната речникова атака.
Защо времето прави паролата предвидима
Вторият проблем е по-сериозен. Приложението е използвало текущото системно време в секунди като начална стойност (seed) на генератора на псевдослучайни числа Mersenne Twister. Това означава, че един и същи момент във времето води до една и съща парола – при еднакви настройки всеки екземпляр на KPM по света би генерирал точно същата парола в дадена секунда, обяснява Бедрюн.
Последиците са лесни за пресмятане. Според изследователя между 2010 и 2021 г. има около 315 милиона секунди, т.е. за даден набор от символи KPM може да генерира най-много толкова различни пароли. Прегледът на такъв брой варианти с груба сила отнема само няколко минути. Освен това много сайтове показват часа на създаване на акаунта, което стеснява обхвата още повече – до около 100 възможни пароли.
Добрата новина е, че според Kaspersky вторият, по-сериозен проблем вече е отстранен с обновление на приложението още през октомври 2019 г. Това обаче не помага за пароли, създадени преди това – те остават уязвими, докато не бъдат сменени.
Какво да направите
Първата стъпка е да обновите Kaspersky Password Manager до последната версия. След това сменете паролите, които сте генерирали с него преди октомври 2019 г., като започнете от най-важните – имейл, банкиране, облачно хранилище и социални мрежи. Новите пароли пак може да генерирате с мениджъра, след като вече е обновен, или с друго доверено приложение.
Случаят показва, че дори инструментите за сигурност имат пропуски и че една парола не бива да е единствената защита. Включете двуфакторна проверка там, където е възможна – например с Google Authenticator – и не използвайте една и съща парола на няколко места. Ако не знаете как да съхранявате паролите си, прочетете нашето ръководство как да пазим паролите си.
Подобни открития обикновено идват от независими изследователи, чиято работа често е стимулирана от програми за награди за намерени уязвимости – както е при програмата на Microsoft за Xbox. Прозрачното публикуване на пропуските помага потребителите да реагират навреме. Технически подробности можете да прочетете в анализа на екипа Donjon на Ledger.
Тази статия е публикувана първоначално в СмартМакс на 8 юли 2021 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
