Wachtwoord managers lekken Wachtwoorden

[Data technicus]

Blijkbaar lekken veel paswoord managers wachtwoorden via clickjacking-aanvallen.

Miljoenen mensen vertrouwen dagelijks op passwordmanagers om hun wachtwoorden veilig te bewaren. Maar recent onderzoek toont aan dat zes grote aanbieders kwetsbaar zijn voor een verrassend simpele aanval: clickjacking. Daarbij denken gebruikers dat ze op een onschuldige knop klikken, terwijl ze ongemerkt gevoelige gegevens prijsgeven.

Verdere info via deze link: https://www.agconnect.nl/business/secur ... ickjacking

[sandbert]

Bewijst nog maar eens dat alles misbruikt kan worden.

Die autofill heb ik trouwens altijd al gewantrouwd en daarom nooit gebruikt, gelukkig maar.

Kopiëren en plakken van gebruikersnaam en wachtwoord vraagt wat meer tijd, maar is dus wel veel veiliger.

[CCatalyst]

Da's ook weer zo'n exploit die in de praktijk toch moeilijker is dan ze laten uitschijnen.

Vult uw password manager dan bv uw PayPal paswoord zomaar in op een site die niet onder paypal.com valt?
Zoja => slechte password manager
Zonee => hij zal uw PayPal pass niet lekken via deze manier

Als het echt een slecht beveiligde site is en ze kunnen een XSS doen, dan zou het wel nog lukken, maar dat zou je toch niet voor mogen hebben op sites waar veiligheid van belang is. Weliswaar opnieuw: "zou".

Het risico is veeleer voor site-onafhankelijke gegevens als uw naam of adres en ook kredietkaart nummer etc. Hangt ervan af of dat in uw password manager zit en hoe snel hij die autofillt. Je moet ook eerst nog op een phishing link klikken btw (of gesocialengineered worden).

[bollewolle]

Was er niet van op de hoogte maar dat verklaart wel waarom ik in een van de laatste 1Password extension release notes zag passeren dat er een "Ask before filling" optie is toegevoegd (met een paar opties waarvoor het gevraagd moet worden en waarvoor niet).

[Data technicus]

Hier vind je nog meer info hierover:

https://marektoth.com/blog/dom-based-ex ... ckjacking/

[Splitter]

ik heb gewoon de autofill uitstaan, als in: ik moet op het login-veld klikken en dan kiezen voor het in te laten vullen door de bitwarden extensie.
door vervolgens ook te kijken op welke site ik uberhaupt zit, ben ik -normaalgezien- relatief veilig voor dit soort aanval.
(ik denk dat er veel "gevaarlijkere" mogelijkheden zijn om een browserextensie aan te vallen dan de autofill proberen te misbruiken)

[CCatalyst]

ben ik -normaalgezien- relatief veilig voor dit soort aanval.

Inderdaad.

ik denk dat er veel "gevaarlijkere" mogelijkheden zijn om een browserextensie aan te vallen

Understatement van de dag.

De staat van security research valt me ook wel op de laatste tijd. Men beschrijft vaak exploits die wel bestaan, maar zodanig vergezocht zijn of zodanig veel "juiste omstandigheden" vereisen dat ze in de praktijk moeilijk of bijna niet uit te voeren zijn. Tegelijk kraait er dan geen haan naar gapende mogelijkheden om idd bv via browserextensies data te exfiltreren, zonder enige tussenkomst van de gebruiker.

Ik vrees dat dit een beetje het gevolg is van de bug bounties. Men concentreert nu vooral op die bug bounties binnen te halen, aangezien al het laaghangend fruit al lang geplukt is moet dat nu met extreem vergezochte manieren, terwijl een obscure browserextensie die uiteraard geen bug bounty programma heeft dan door de mazen van het net glipt.

[ITnetadmin]

De volgende waarheid zal *nooit* veranderen:
"Gebruiksgemak en security zijn de twee uitersten van dezelfde slider."