Menadżery haseł online takie jak LastPass nie są bezpieczne

W dobie wszechobecnych kont dostępowych do różnych usług zapamiętanie wszystkich haseł nie jest czymś możliwym do zrealizowania. Oczywiście możemy korzystać wszędzie z tego samego, niemniej to rozwiązanie bardzo głupie i jego skutki możemy odczuć po włamaniu do którejś z usług lub wycieku danych. Rozwiązaniem stają się różnego rodzaju usługi do przechowywania haseł online. Czy są one w pełni bezpieczne, jak reklamują je sami usługodawcy? Okazuje się, że niestety nie do końca, korzystanie z nich to również spore ryzyko.

Odpowiedzieć na to pytanie postanowili naukowcy z Uniwersytetu Kalifornijskiego w Berkeley. Zbadali oni pięć popularnych usług tego typu: LastPass, My1login, NeedMyPassowrd, PasswordBox oraz RoboForm. Celem badania było sprawdzenie, czy usługi te są narażone na ataki i czy posiadają jakieś słabe punkty, które mogą zostać wykorzystane przez atakujących. Przypomnijmy, że rozwiązania tego typu są najczęściej stosowane jako dodatki do popularnych przeglądarek. Oferują dostęp do sejfu przechowującego nasze dane logowania, ważne notatki, a nawet takie informacje jak numery kart kredytowych czy dane z dokumentów, o ile oczywiście użytkownik zdecyduje się na ich zapisanie. Rozwiązania tego typu są najczęściej bardzo wygodne, bo pozwalają na bardzo szybkie zalogowanie, rozpoznają formularze i same proponują zapisanie wprowadzanych przez nas danych. Niektóre z nich posiadają również generatory haseł i swoiste testy bezpieczeństwa, pozwalające na ocenę tego, z jakich haseł korzystamy.

Naukowcy zbadali cztery obszary, które mogą być zagrożone: obsługę skryptozakładek, podatność na ataki z wykorzystaniem stron internetowych, błędy logiczne, a także związane z samym interfejsem usługi. Wyniki nie cieszą, bo w aż czterech z pięciu usług znaleziono błędy i problemy, które pozwalają atakującemu na przejęcie danych użytkownika np. poprzez wykorzystanie podatności na ataki CSRF lub XSS. Jednym z testów było np. nakłonienie użytkownika do zalogowania się do managera poprzez podmieniony element typu iframe, upodobnienie go do samej usługi. Inny obejmował przechwytywanie danych podczas korzystania z skryptozakładek. Jeszcze inny sprawdzał, czy aplikacje chronią się przed atakami CSRF wykorzystując w formularzach unikalne tokeny. Niestety, w większości wypadków okazywało się, że usługi te posiadają liczne wady, które można wykorzystać przeciwko użytkownikom. Jako, że pracują one w przeglądarce i niejako współpracują ze stronami, cały czas pozostają w strefie dużego ryzyka. Z dokładnym przedstawieniem poszczególnych badań i wyników działania usług można zapoznać się w oficjalnym raporcie.

Pracownicy uniwersytetu dali jasno do zrozumienia: choć aplikacje tego typu wydają się bezpieczne i wygodne, w rzeczywistości są rozwiązaniami bardzo niepewnymi. Co ważne, osoby przeprowadzające badanie nie tylko wykazały, że usługi tego typu nie są bezpieczne, ale pokazały, jak można rozwiązać napotkane problemy i uczynić te usługi lepszymi. Oczywiście to, czy zaproponowane zmiany zostaną wdrożone zależy od samych usługodawców. LastPass już zareagował na raport, wprowadził zmiany i poprosił niektórych użytkowników o zmianę hasła głównego w celu zwiększenia bezpieczeństwa. Obecnie pewnym jest, że używanie tego typu rozwiązań stanęło pod dużym znakiem zapytania. W wielu z przedstawionych w raporcie scenariuszy użytkownik nie ma żadnego wpływu na własne bezpieczeństwo, nie może więc o nie zadbać dodatkowo zwiększając ochronę. Tymczasem same stosowanie tego typu rozwiązań kusi: wygoda, synchronizacja między wieloma urządzeniami, a nawet integracja z systemami mobilnymi to komfort, którego trudno szukać w przypadku managerów lokalnych.

Oczywiście nie jest tak, że rozwiązania tradycyjne są zdecydowanie lepsze. Problemem jest choćby sposób przechowywania haseł w managerach dostępnych w przeglądarkach. Na tym polu króluje Firefox, który po ustawieniu hasła głównego daje realną ochronę. Inne przeglądarki oferują jedynie jej namiastkę, która tak naprawdę jest fikcją marketingową. Jak więc żyć? Zawsze możemy skorzystać z rozwiązań lokalnych, które także w odpowiedni sposób zabezpieczają nasze dane. Jednym z nich jest np. popularny KeePass, którego znajdziecie w bazie aplikacji naszego serwisu. Choć nie jest on tak wygodny jak manager zintegrowany z przeglądarką, zapewnia znacznie wyższy poziom bezpieczeństwa. A przecież właśnie to jest w tym wypadku najważniejsze.