ОБЗОР Уязвимость в Keeper позволяет получить доступ к содержимому менеджера паролей

Тема в разделе "Новости из СМИ", создана пользователем Apollon, 18 май 2018.

  1. TopicStarter Overlay
    Apollon

    Apollon Модератор . . . .

    На BDF с:
    07.09.17
    Сообщения:
    5.802
    Симпатии:
    774
    Баллы:
    664
    Пол:
    Мужской
    Репутация:
    1.535
    ГАРАНТ (покупки):
    3
    ДЕПОЗИТ:
    17500
    BDFCOIN:
    64.35
    [ Ссылки могут видеть только зарегистрированные пользователи. Зарегистрироваться или Войти ]  

    В менеджере паролей Keeper исправлена уязвимость, позволявшая получить доступ к конфиденциальным данным пользователей. Проблема была обнаружена анонимным исследователем безопасности,уведомившим о ней производителя через публичный список раскрытия уязвимостей.

    По словам исследователя, любой, у кого есть контроль над сервером API Keeper, может получить доступ к ключу шифрования для паролей, хранящихся в менеджере. Проблема затрагивает скрипт на Python под названием Keeper Commander, позволяющий пользователям чередовать пароли и избавляющий от необходимости использовать вшитые пароли в ПО и системах.

    Как пояснил исследователь, любой с доступом к серверу API Keeper (например, сотрудник Keeper) может получить доступ к учетным записям пользователей, поскольку на сервере хранится информация, использовавшаяся для создания промежуточного ключа. «С ноября 2015 года и по сей день в коде Keeper Commander присутствует слепое доверие к серверу API», - отметил исследователь.

    Данная уязвимость ставит под сомнение заявление компании Keeper о том, что у ее сотрудников нет доступа к информации пользователей (например, в случае получения судебного ордера). Главный технологический директор Keeper Крейг Лури (Craig Lurey) подтвердил изданию ZDNet наличие уязвимости. Тем не менее, по его словам, компания говорит правду, заявляя, что не получает доступ к данным пользователей.

    «Сообщение исследователя представляет собой лишь теоретический сценарий, никогда не использовавшийся в реальной жизни, и, что еще важнее, для осуществления которого требуется сговор внутри компании. Это неприемлемо и непрофессионально», - заявил Лури.
     
Загрузка...