Έχει η Kaspersky μια γεννήτρια κωδικού πρόσβασης?

Ο κωδικός πρόσβασης που κατασκευάζεται μετατρέπεται σε πεζά. Απομακρύνονται μη γράμματα. Τότε, υπάρχει μια επανάληψη στο Κωδικός πρόσβασης Αντί για τον πεζά κωδικό πρόσβασης που μόλις δημιουργήθηκε. Αυτό οδηγεί σε λάθος υπολογισμό της μεταβλητής ευρετηρίου (η θέση ενός γράμματος στο αλφάβητο). Αυτός ο δείκτης χρησιμοποιείται για την ανάκτηση ενός στοιχείου ενός πίνακα. Αυτό οδηγεί σε μια εκτός ορίων που διαβάζουν αυτήν τη συστοιχία.

Kaspersky Password Manager: Όλοι οι κωδικοί πρόσβασής σας ανήκουν σε εμάς

Η γεννήτρια κωδικού πρόσβασης που συμπεριλήφθηκε στον Kaspersky Password Manager είχε πολλά προβλήματα. Το πιο κρίσιμο είναι ότι χρησιμοποίησε ένα PRNG που δεν ταιριάζει για κρυπτογραφικούς σκοπούς. Η ενιαία πηγή της εντροπίας ήταν η τρέχουσα ώρα. Όλοι οι κωδικοί πρόσβασης που δημιούργησαν θα μπορούσαν να είναι βρώμικοι σε δευτερόλεπτα. Αυτό το άρθρο εξηγεί πώς να δημιουργήσετε με ασφάλεια τους κωδικούς πρόσβασης, γιατί ο Kaspersky Password Manager απέτυχε και πώς να εκμεταλλευτεί αυτό το ελάττωμα. Παρέχει επίσης μια απόδειξη της έννοιας για να δοκιμάσετε εάν η έκδοση σας είναι ευάλωτη.

Το προϊόν έχει ενημερωθεί και οι νεότερες εκδόσεις του αρένα’που επηρεάζεται από αυτό το ζήτημα.

Εισαγωγή

Πριν από δύο χρόνια, εξετάσαμε τον Kaspersky Password Manager (KPM), έναν διαχειριστή κωδικού πρόσβασης που αναπτύχθηκε από τον Kaspersky. Το Kaspersky Password Manager είναι ένα προϊόν που αποθηκεύει με ασφάλεια τους κωδικούς πρόσβασης και τα έγγραφα σε ένα κρυπτογραφημένο θόλο, προστατευμένο από έναν κωδικό πρόσβασης. Αυτό το θόλο προστατεύεται με έναν κύριο κωδικό πρόσβασης, οπότε, όπως και με άλλους διαχειριστές κωδικών πρόσβασης, οι χρήστες πρέπει να θυμούνται έναν μόνο κωδικό πρόσβασης για χρήση και διαχείριση όλων των κωδικών πρόσβασης τους. Το προϊόν είναι διαθέσιμο για διάφορα λειτουργικά συστήματα (Windows, MacOS, Android, iOS, Web …) κρυπτογραφημένα δεδομένα μπορούν στη συνέχεια να συγχρονιστούν αυτόματα μεταξύ όλων των συσκευών σας, που προστατεύονται πάντα από τον κύριο κωδικό σας.

Η κύρια λειτουργικότητα του KPM είναι η διαχείριση κωδικού πρόσβασης. Ένα βασικό σημείο με τους διαχειριστές κωδικών πρόσβασης είναι ότι, αντίθετα με τους ανθρώπους, αυτά τα εργαλεία είναι καλά για να δημιουργήσουν τυχαίους, ισχυρούς κωδικούς πρόσβασης. Για να δημιουργήσετε ασφαλείς κωδικούς πρόσβασης, ο Kaspersky Password Manager πρέπει να βασίζεται σε έναν ασφαλή μηχανισμό δημιουργίας κωδικού πρόσβασης. Θα δούμε πρώτα ένα παράδειγμα μιας καλής μεθόδου παραγωγής κωδικού πρόσβασης, για να εξηγήσουμε μετά από το γιατί η μέθοδος που χρησιμοποίησε ο Kaspersky ήταν λανθασμένη και πώς την εκμεταλλευτήκαμε. Όπως θα δούμε, οι κωδικοί πρόσβασης που παράγονται από αυτό το εργαλείο μπορούν να είναι βρώμικοι σε δευτερόλεπτα.

Μετά από λίγο λιγότερο από δύο χρόνια, αυτή η ευπάθεια έχει διορθωθεί σε όλες τις εκδόσεις της KPM. Η ευπάθεια έχει εκχωρηθεί CVE-2020-2702020.

Δημιουργία ισχυρών κωδικών πρόσβασης από ένα charset

Για λόγους απλότητας, ας’S Μελέτη Πώς παράγονται οι κωδικοί πρόσβασης στο Keepass, ένα έργο ανοιχτού κώδικα. Η δημιουργία κωδικού πρόσβασης εφαρμόζεται σε διάφορες κατηγορίες στο Keepasslib.Κρυπτογράφηση.Χώρος ονομάτων passwordgenerator. Το Keepass παρέχει 3 μεθόδους για τη δημιουργία ενός κωδικού πρόσβασης: μια μέθοδο βασισμένη σε charset, βασισμένο σε μοτίβα και μια μέθοδο προσαρμοσμένης γενιάς.

Η απλούστερη μέθοδος είναι η γεννήτρια charset-base, η οποία δημιουργεί έναν κωδικό πρόσβασης από ένα δεδομένο charset. Ας δούμε πώς λειτουργεί. Εδώ είναι ο κύριος βρόχος που είναι υπεύθυνος για τη δημιουργία κωδικών πρόσβασης:

PWCharset PCS = νέο PWCharset (PWProfile.Ριψοκίνδυνος.ToString ());
αν(!Pwgenerator.PrepareCharset (PCS, PWProfile))
Επιστροφή Pwgerror.Envalidcharset;
char [] v = new char [pwprofile.Μήκος];
δοκιμάστε
{
για (int i = 0; i < v.Length; ++i)
{
char ch = PwGenerator.GenerateCharacter(pcs, crsRandomSource);
if(ch == char.MinValue)
return PwgError.TooFewCharacters;
v[i] = ch;
if(pwProfile.NoRepeatingCharacters)
pcs.Remove(ch);
}
}

Η μέθοδος GenerateCharacter καλείται να δημιουργήσει κάθε χαρακτήρα από τον κωδικό πρόσβασης. Παίρνει ένα charset και μια τυχαία πηγή και εξάγει έναν τυχαίο χαρακτήρα από το charset. Η εφαρμογή του είναι μάλλον απλή:

Εσωτερική στατική char generatecharacter (pwcharset pwcharset, cryptorandomstream crsrandomsource)
{
uint cc = pwcharset.Μέγεθος;
αν (cc == 0)
Επιστροφή.Minvalue;
uint i = (uint) crsrandomsource.GetRandomuint64 (CC);
επιστροφή pwcharset [i];
}

1. Πώς απέτυχε η γεννήτρια κωδικού πρόσβασης του Kaspersky Password Manager?

Η γεννήτρια κωδικών πρόσβασης στο Kaspersky Password Manager απέτυχε επειδή χρησιμοποίησε ένα PRNG (Pseudo-random Number Generator) που δεν ήταν κατάλληλη για κρυπτογραφικούς σκοπούς. Βασίστηκε αποκλειστικά στην τρέχουσα χρονική στιγμή ως πηγή εντροπίας, καθιστώντας εύκολο να βυθιστεί η δύναμη των παραγόμενων κωδικών πρόσβασης.

2. Γιατί είναι σημαντικό να δημιουργηθούν ασφαλείς κωδικοί πρόσβασης?

Η δημιουργία ασφαλών κωδικών πρόσβασης είναι σημαντική επειδή οι αδύναμοι κωδικοί πρόσβασης είναι εύκολα εικαστικοί και μπορούν να διακυβευτούν από τους επιτιθέμενους. Οι ισχυροί, τυχαίοι κωδικοί πρόσβασης παρέχουν καλύτερη ασφάλεια για τους λογαριασμούς online και βοηθούν στην προστασία ευαίσθητων πληροφοριών από μη εξουσιοδοτημένη πρόσβαση.

3. Πώς εκμεταλλεύτηκε η μέθοδος παραγωγής με ελάττωμα κωδικού πρόσβασης στο Kaspersky Password Manager?

Η μέθοδος παραγωγής με ελάττωμα κωδικού πρόσβασης στο Kaspersky Password Manager επέτρεψε την εύκολη βίαιη προβολή των παραγόμενων κωδικών πρόσβασης λόγω της έλλειψης σωστής εντροπίας. Χρησιμοποιώντας ένα PRNG που βασίζεται αποκλειστικά στην τρέχουσα χρονική στιγμή, έγινε δυνατό να προβλέψουμε με ακρίβεια και να μαντέψουμε τους κωδικούς πρόσβασης, καθιστώντας τους ευάλωτους στην επίθεση.

4. Ποιος είναι ο αριθμός CVE που αντιστοιχεί στην ευπάθεια στο Kaspersky Password Manager?

Η ευπάθεια στο Kaspersky Password Manager έχει εκχωρηθεί ο αριθμός CVE-2020-27020.

5. Πώς παράγονται οι κωδικοί πρόσβασης στο Keepass?

Οι κωδικοί πρόσβασης παράγονται στο Keepass χρησιμοποιώντας διάφορες μεθόδους, συμπεριλαμβανομένης μιας γεννήτριας που βασίζεται σε charset. Αυτή η μέθοδος δημιουργεί κωδικούς πρόσβασης με βάση ένα δεδομένο charset, εξασφαλίζοντας ότι οι δημιουργημένοι κωδικοί πρόσβασης περιέχουν ένα μείγμα χαρακτήρων από το καθορισμένο σύνολο.

6. Ποιος είναι ο σκοπός της κλάσης Pwcharset στο Keepass?

Η κλάση Pwcharset στο Keepass χρησιμοποιείται για τον καθορισμό και τη διαχείριση των συνόλων χαρακτήρων που μπορούν να χρησιμοποιηθούν στη δημιουργία κωδικού πρόσβασης. Επιτρέπει την προσαρμογή και τον έλεγχο των χαρακτήρων που περιλαμβάνονται στους παράγοντες που δημιουργούνται.

7. Πώς λειτουργεί η μέθοδος GenerateCharacter στο Keepass?

Η μέθοδος GenerateCharacter στο Keepass παίρνει ένα charset και μια τυχαία πηγή ως παραμέτρους εισόδου και επιστρέφει έναν τυχαίο χαρακτήρα από το καθορισμένο charset. Εξασφαλίζει ότι ο παραγόμενος χαρακτήρας επιλέγεται τυχαία από το παρεχόμενο σύνολο χαρακτήρων.

8. Τι συμβαίνει εάν το σύνολο χαρακτήρων είναι άδειο στο Keepass?

Εάν το σύνολο χαρακτήρων είναι άδειο στο Keepass, η μέθοδος GenerateCharacter θα επιστρέψει την τιμή Char.Μιναλίδα. Αυτό υποδεικνύει ότι δεν υπάρχουν διαθέσιμοι χαρακτήρες στο καθορισμένο charset και μπορεί να οδηγήσει σε σφάλμα στη διαδικασία δημιουργίας κωδικού πρόσβασης.

9. Πώς χειριζόταν η γεννήτρια κωδικού πρόσβασης στο Kaspersky Password Manager?

Η γεννήτρια κωδικών πρόσβασης στο Kaspersky Password Manager μετέτρεψε τον κωδικό πρόσβασης που κατασκευάστηκε σε πεζά και αφαιρέθηκε χαρακτήρες μη επιστολής. Αυτή η διαδικασία ήταν μέρος της ελαττωματικής μεθοδολογίας που χρησιμοποιείται από τη γεννήτρια, η οποία τελικά οδήγησε στην ευπάθεια που επέτρεψε την εύκολη βίαιη προβολή των κωδικών πρόσβασης.

10. Έχει διορθωθεί η ευπάθεια στο Kaspersky Password Manager?

Ναι, η ευπάθεια στο Kaspersky Password Manager έχει διορθωθεί σε όλες τις εκδόσεις. Οι τελευταίες εκδόσεις του προϊόντος δεν επηρεάζονται από αυτό το ζήτημα.

Έχει η Kaspersky μια γεννήτρια κωδικού πρόσβασης?

Ο κωδικός πρόσβασης που κατασκευάζεται μετατρέπεται σε πεζά. Απομακρύνονται μη γράμματα. Τότε, υπάρχει μια επανάληψη στο Κωδικός πρόσβασης Αντί για τον πεζά κωδικό πρόσβασης που μόλις δημιουργήθηκε. Αυτό οδηγεί σε λάθος υπολογισμό της μεταβλητής ευρετηρίου (η θέση ενός γράμματος στο αλφάβητο). Αυτός ο δείκτης χρησιμοποιείται για την ανάκτηση ενός στοιχείου ενός πίνακα. Αυτό οδηγεί σε μια εκτός ορίων που διαβάζουν αυτήν τη συστοιχία.

Kaspersky Password Manager: Όλοι οι κωδικοί πρόσβασής σας ανήκουν σε εμάς

Η γεννήτρια κωδικού πρόσβασης που συμπεριλήφθηκε στον Kaspersky Password Manager είχε πολλά προβλήματα. Το πιο κρίσιμο είναι ότι χρησιμοποίησε ένα PRNG που δεν ταιριάζει για κρυπτογραφικούς σκοπούς. Η ενιαία πηγή της εντροπίας ήταν η τρέχουσα ώρα. Όλοι οι κωδικοί πρόσβασης που δημιούργησαν θα μπορούσαν να είναι βρώμικοι σε δευτερόλεπτα. Αυτό το άρθρο εξηγεί πώς να δημιουργήσετε με ασφάλεια τους κωδικούς πρόσβασης, γιατί ο Kaspersky Password Manager απέτυχε και πώς να εκμεταλλευτεί αυτό το ελάττωμα. Παρέχει επίσης μια απόδειξη της έννοιας για να δοκιμάσετε εάν η έκδοση σας είναι ευάλωτη.

Το προϊόν έχει ενημερωθεί και οι νεότερες εκδόσεις του αρένα’που επηρεάζεται από αυτό το ζήτημα.

Εισαγωγή

Πριν από δύο χρόνια, εξετάσαμε τον Kaspersky Password Manager (KPM), έναν διαχειριστή κωδικού πρόσβασης που αναπτύχθηκε από τον Kaspersky. Το Kaspersky Password Manager είναι ένα προϊόν που αποθηκεύει με ασφάλεια τους κωδικούς πρόσβασης και τα έγγραφα σε ένα κρυπτογραφημένο θόλο, προστατευμένο από έναν κωδικό πρόσβασης. Αυτό το θόλο προστατεύεται με έναν κύριο κωδικό πρόσβασης, οπότε, όπως και με άλλους διαχειριστές κωδικών πρόσβασης, οι χρήστες πρέπει να θυμούνται έναν μόνο κωδικό πρόσβασης για χρήση και διαχείριση όλων των κωδικών πρόσβασης τους. Το προϊόν είναι διαθέσιμο για διάφορα λειτουργικά συστήματα (Windows, MacOS, Android, iOS, Web ...) κρυπτογραφημένα δεδομένα μπορούν στη συνέχεια να συγχρονιστούν αυτόματα μεταξύ όλων των συσκευών σας, που προστατεύονται πάντα από τον κύριο κωδικό σας.

Η κύρια λειτουργικότητα του KPM είναι η διαχείριση κωδικού πρόσβασης. Ένα βασικό σημείο με τους διαχειριστές κωδικών πρόσβασης είναι ότι, αντίθετα με τους ανθρώπους, αυτά τα εργαλεία είναι καλά για να δημιουργήσουν τυχαίους, ισχυρούς κωδικούς πρόσβασης. Για να δημιουργήσετε ασφαλείς κωδικούς πρόσβασης, ο Kaspersky Password Manager πρέπει να βασίζεται σε έναν ασφαλή μηχανισμό δημιουργίας κωδικού πρόσβασης. Θα δούμε πρώτα ένα παράδειγμα μιας καλής μεθόδου παραγωγής κωδικού πρόσβασης, για να εξηγήσουμε μετά από το γιατί η μέθοδος που χρησιμοποίησε ο Kaspersky ήταν λανθασμένη και πώς την εκμεταλλευτήκαμε. Όπως θα δούμε, οι κωδικοί πρόσβασης που παράγονται από αυτό το εργαλείο μπορούν να είναι βρώμικοι σε δευτερόλεπτα.

Μετά από λίγο λιγότερο από δύο χρόνια, αυτή η ευπάθεια έχει διορθωθεί σε όλες τις εκδόσεις της KPM. Η ευπάθεια έχει εκχωρηθεί CVE-2020-2702020.

Δημιουργία ισχυρών κωδικών πρόσβασης από ένα charset

Για λόγους απλότητας, ας’S Μελέτη Πώς παράγονται οι κωδικοί πρόσβασης στο Keepass, ένα έργο ανοιχτού κώδικα. Η δημιουργία κωδικού πρόσβασης εφαρμόζεται σε διάφορες κατηγορίες στο Keepasslib.Κρυπτογράφηση.Χώρος ονομάτων passwordgenerator. Το Keepass παρέχει 3 μεθόδους για τη δημιουργία ενός κωδικού πρόσβασης: μια μέθοδο βασισμένη σε charset, βασισμένο σε μοτίβα και μια μέθοδο προσαρμοσμένης γενιάς.

Η απλούστερη μέθοδος είναι η γεννήτρια charset-base, η οποία δημιουργεί έναν κωδικό πρόσβασης από ένα δεδομένο charset. Ας δούμε πώς λειτουργεί. Εδώ είναι ο κύριος βρόχος που είναι υπεύθυνος για τη δημιουργία κωδικών πρόσβασης:

Pwcharset υπολογιστές = νέος Pwcharset(pwprofile.Ριψοκίνδυνος.Τσιγγάνου()) αν(!Pwgenerator.Προεπιλογενές(υπολογιστές, pwprofileΟυσία ΕΠΙΣΤΡΟΦΗ Pwgerror.Μηδενικό; απανθρακώνω[] v = νέος απανθρακώνω[pwprofile.Μήκος]; δοκιμάστε  Για(int Εγώ = 0; Εγώ  v.Μήκος; ++Εγώ·  απανθρακώνω ch = Pwgenerator.Γενεαλογία(υπολογιστές, crsrandomsource) αν(ch == απανθρακώνω.Μιναλίδα· ΕΠΙΣΤΡΟΦΗ Pwgerror.Toofewcharacters; v[Εγώ] = ch; αν(pwprofile.Νοσηλάστες· υπολογιστές.Αφαιρώ(ch) > . > 

Η μέθοδος GenerateCharacter καλείται να δημιουργήσει κάθε χαρακτήρα από τον κωδικό πρόσβασης. Παίρνει ένα charset και μια τυχαία πηγή και εξάγει έναν τυχαίο χαρακτήρα από το charset. Η εφαρμογή του είναι μάλλον απλή:

εσωτερικός στατικός απανθρακώνω Γενεαλογία(Pwcharset pwcharset, Cryptorandomstream crsrandomsource·  inint ριπής = pwcharset.Μέγεθος; αν(ριπής == 0· ΕΠΙΣΤΡΟΦΗ απανθρακώνω.Μιναλίδα; inint Εγώ = (inint·crsrandomsource.GetRandomuint64(ριπής) ΕΠΙΣΤΡΟΦΗ pwcharset[Εγώ]; > 

Τέλος, το GetRandomuint64 είναι μια ομοιόμορφη γεννήτρια τυχαίων αριθμών που εξάγει τιμές μεταξύ 0 και CC - 1:

εσωτερικός ουρλικό GetRandomuint64(ουρλικό umaxexcl·  αν(umaxexcl == 0·  Εντοπισμός εντοπισμού σφαλμάτων.Διεκδικώ(ψευδής) βολή νέος ArgumentoutofRangeException("Umaxexcl") > ουρλικό νταγιά, ουρρέμ; κάνω  νταγιά = GetRandomuint64(); ουρρέμ = νταγιά % umaxexcl; > ενώ(νταγιά - ουρρέμ· > (ουρλικό.Μέγιστη όψη - (umaxexcl - 1Uμεγάλο)) // Αυτό εξασφαλίζει ότι ο τελευταίος αριθμός του μπλοκ (i.μι. // (UGEN - UREM) + (UMAXEXCL - 1)) είναι παρατηρείται // για υπογεγραμμένα longs, υπερχείλιση σε αρνητικό αριθμό: // Ενώ ((Ugen - Urem) + (Umaxexcl - 1) < 0);ΕΠΙΣΤΡΟΦΗ ουρρέμ; > 

Αυτό που είναι σημαντικό εδώ είναι ότι κάθε χαρακτήρας δημιουργείται ανεξάρτητα από τα άλλα: Κάθε χαρακτήρας είναι τυχαίος και γνωρίζοντας ποιος χαρακτήρας έχει δημιουργηθεί πριν δεν μας δίνει πληροφορίες για τον επόμενο χαρακτήρα που θα δημιουργηθεί.

Τέλος, ας’Το S υποθέστε ότι το getRandomuint64 είναι κρυπτογραφικά ισχυρό και δημιουργεί έναν τυχαίο αριθμό 64-bit. Γιατί υπάρχει ένας βρόχος εδώ και γιατί αυτή η λειτουργία δεν εφαρμόζεται απλώς ως επιστροφή getRandomuint64 () % umaxexcl; ?

Ομοιόμορφη παραγωγή τυχαίων αριθμών

Αυτός ο βρόχος είναι απαραίτητος για ομοιόμορφα Δημιουργήστε αριθμούς σε μια σειρά.

Φανταστείτε ότι θέλετε να πάρετε ένα τυχαίο char από ένα charset 10 πιθανών chars, και έχετε μια μέθοδο γεννήτριας τυχαίου αριθμού getRandom32 που εξάγει τον αριθμό μεταξύ 0 και 32 (32 εξαιρούνται). Ο απλός τρόπος για την εξαγωγή αυτού του χαρακτήρα θα ήταν:

κονσερβός σειρά ριψοκίνδυνος = "0123456789"; ΕΠΙΣΤΡΟΦΗ ριψοκίνδυνος[GetRandom32() % 10]; 

Αφήνω’S Δείτε πώς παράγονται οι χαρακτήρες:

• “4” επιστρέφεται εάν το getRandom32 () επιστρέφει 4, 14 ή 24 (3 πιθανές τιμές)
• “5” επιστρέφεται εάν το getRandom32 () επιστρέφει 5, 15 ή 25 (3 πιθανές τιμές)
• Αλλά “1” επιστρέφεται εάν το getRandom32 () επιστρέφει 1, 11, 21 και 31 (4 πιθανές τιμές!·

Η διανομή δίνεται παρακάτω:

Έτσι υπάρχει μια προκατάληψη με αυτή τη μέθοδο: όπως μπορεί κανείς να δει από τις εξόδους, τα ψηφία 0 και 1 θα εξάγονται πιο συχνά από τα άλλα. Ονομάζεται συνήθως το “μεροληψία”. Θα πρέπει να ελέγξετε τον εξαιρετικό οριστικό οδηγό για “αρθρωτός προκατάληψη” και πώς να το αποφύγετε, από την Kudelski Security, για περισσότερες πληροφορίες.

Για να το καταργήσετε “μεροληψία”, Μια κοινή μέθοδος είναι να απορρίψει όλους τους αριθμούς μεγαλύτερους ή ίσους με 30 (το μεγαλύτερο πολλαπλάσιο των 10 χαμηλότερων από 32):

κονσερβός σειρά ριψοκίνδυνος = "0123456789"; κάνω  νταγιά = GetRandom32(); > ενώ (νταγιά > = 30) ΕΠΙΣΤΡΟΦΗ ριψοκίνδυνος[νταγιά % 10]; 

Αυτό είναι ακριβώς αυτό που κάνει το Keepass, αν και η προκατάληψη στο Keepass θα ήταν πολύ λιγότερο σημαντική από ό, τι στο τρέχον παράδειγμα, επειδή το getRandomuint64 παράγει τιμές πολύ μεγαλύτερες από το μέγεθος του συνόλου χαρακτήρων κωδικού πρόσβασης.

Είδαμε πώς να επιλέξουμε ομοιόμορφα έναν χαρακτήρα από ένα δεδομένο εύρος χαρακτήρων, υποθέτοντας ότι η τυχαία πηγή μας είναι ομοιόμορφη. Αφήνω’S Δείτε τώρα τι είδους πηγή είναι κατάλληλο για τη δημιουργία κρυπτογραφικά ισχυρών τυχαίων αριθμών.

Κρυπτογραφικά ασφαλές prng

Οι αριθμοί που παράγονται πρέπει να είναι τυχαίος. Αλλά τι σημαίνει ακριβώς αυτό? Ένα συνηθισμένο καλό PRNG θα περάσει μια σειρά από δοκιμές, κυρίως στατιστικές δοκιμές τυχαίων.

Ένα κρυπτογραφικά ασφαλές PRNG (CSPRNG) θα περάσει επίσης αυτές τις δοκιμές, αλλά έχει επίσης δύο άλλες απαιτήσεις:

• Πρέπει να ικανοποιήσει τη δοκιμή επόμενου bit. Γνωρίζοντας όλα τα κομμάτια που έχουν ήδη δημιουργηθεί από ένα CSPRNG, δεν υπάρχει μέθοδος πολυωνυμικού χρόνου που θα προβλέψει το επόμενο κομμάτι με πιθανότητα υψηλότερη από το 0.5.
• Εάν, ανά πάσα στιγμή, ολόκληρη η κατάσταση του csprng διακυβεύεται, δεν υπάρχει τρόπος να ανακτήσετε τα κομμάτια που επέστρεψαν προηγουμένως από το csprng.

Αυτά τα σημεία είναι απαραίτητα για την παραγωγή κωδικού πρόσβασης. Για παράδειγμα, εάν ένας κωδικός πρόσβασης έχει παραβιαστεί για κάποιο λόγο και εάν χρησιμοποιηθεί ένα μη-CSPRNG για τη δημιουργία αυτού του κωδικού πρόσβασης, ένας εισβολέας θα μπορούσε τότε να ανακτήσει τον άλλο κωδικό πρόσβασης που δημιουργείται χρησιμοποιώντας αυτό το PRNG. Τα περισσότερα λειτουργικά συστήματα παρέχουν υλοποιήσεις CSPRNG: CryptGenRandom στα Windows ή /Dev /Random σε λειτουργικά συστήματα που μοιάζουν με UNIX.

Ορισμένα λογισμικά προτιμούν να χρησιμοποιούν τη δική τους εφαρμογή, συχνά σπαρμένες, πλήρως ή εν μέρει, από το λειτουργικό σύστημα PRNG. Το Keepass χρησιμοποιεί δύο PRNG, βασισμένα είτε στο Salsa20 και το Chacha20, και ένα κληρονομιά που βασίζεται σε μια παραλλαγή του Arcfour. Αφήνω’Υποθέστε ότι τα δύο πρώτα PRNG είναι κρυπτογραφικά ασφαλή: έχουμε τώρα όλα τα στοιχεία για να δημιουργήσουμε τυχαίους, ασφαλείς κωδικούς πρόσβασης από ένα δεδομένο charset.

Κάπερσκι’S Μέθοδος δημιουργίας κωδικού πρόσβασης

Ο Kaspersky Password Manager διαθέτει ενσωματωμένη γεννήτρια κωδικών πρόσβασης, ο οποίος δημιουργεί κωδικό πρόσβασης από ένα δεδομένο “πολιτική”. Οι ρυθμίσεις πολιτικής είναι απλές: μήκος κωδικού πρόσβασης, κεφαλαία γράμματα, πεζά γράμματα, ψηφία και προσαρμοσμένο σύνολο ειδικών χαρακτήρων. Όλες αυτές οι ρυθμίσεις μπορούν να ρυθμιστούν στη διεπαφή γεννήτριας κωδικού πρόσβασης, όπως φαίνεται εδώ (αυτή είναι η τυπική ρύθμιση):

Από προεπιλογή, το KPM παράγει κωδικούς πρόσβασης 12 χαρακτήρων με εκτεταμένο charset.

Εξαπατώντας τη συχνότητα εμφάνισης

Η διαδικασία παραγωγής είναι πολύ πιο περίπλοκη από τη μέθοδο Keepass. Το KPM επιλέγει πρώτα δύο τυχαία πλωτήρα $ R_1 $ και $ R_2 $ μεταξύ 0 και 1 και τα πολλαπλασιάζει με το μήκος του κωδικού πρόσβασης για να επιλέξει μια τιμή στον πίνακα Charset:

ριψοκίνδυνος = . # Ρυθμισμένο χαρακτήρα για χρήση r1 = τυχαίος.τυχαίος() r2 = τυχαίος.τυχαίος() θέση = r1 * r2 * λυγαριά(ριψοκίνδυνος· ΕΠΙΣΤΡΟΦΗ ριψοκίνδυνος[θέση] 

Η κατανομή του $ R_1 \ times r_2 $ είναι (χάρη στο Mathworld):

\ [\ begin p [r_1 r_2 = a] & = & \ int_0^1 \ int_0^1 \ delta (xy - a) dx \ & = \ int_0^1 \^^^ frac dx \\ & = & -ln (a) \ end \]

Η κατανομή αυτής της λειτουργίας δεν είναι ομοιόμορφη: οι χαμηλότερες θέσεις έχουν περισσότερες πιθανότητες να εμφανιστούν από τις τιμές κοντά στο 1. Μια τέτοια μέθοδος είναι αρκετά αινιγματική, αλλά φαίνεται ότι είναι ακριβώς αυτό που η KPM ήθελε να εφαρμόσει.

Πώς δημιουργείται το charset? Είναι πλήρως διατεταγμένο, όπως “abcdefghij…”? Οχι…

• Για τους τρεις πρώτους χαρακτήρες, ο Charset είναι πλήρως διατεταγμένος (σχεδόν ... θα το δούμε αργότερα).
• Στη συνέχεια, για τους επόμενους χαρακτήρες, η KPM βασίζεται στη συχνότητα επιστολών: Υποθέτει ότι τα λιγότερο συχνή γράμματα (σε κάποια γλώσσα) πρέπει να εμφανίζονται συχνότερα στον παράγοντα που παράγονται. Η υποτιθέμενη συχνότητα εμφάνισης κάθε γράμματος, όπως χρησιμοποιείται στο KPM, εμφανίζεται στο παρακάτω γράφημα:

Στη συνέχεια, ο Charset διατάσσεται σύμφωνα με την αντίστροφη συχνότητα εμφάνισης κάθε γράμματος: Q, X, Z, W ... N, A, E.

Καθώς οι χαμηλότερες τιμές είναι πιο πιθανό να εμφανιστούν δεδομένης της λειτουργίας διανομής, μπορούμε να υποθέσουμε ορισμένους χαρακτήρες όπως “q” και “Χ” είναι πολύ πιο πιθανό να εμφανιστούν σε κωδικούς πρόσβασης που παράγονται από το KPM.

Εάν αυτά τα στατιστικά στοιχεία ελήφθησαν ανεξάρτητα για να δημιουργήσουν κάθε char ενός κωδικού πρόσβασης, θα μπορούσαμε να δούμε συχνά αρκετούς “q”, “Χ” ή “z” στους κωδικούς πρόσβασης. Ωστόσο, τα πράγματα είναι πιο περίπλοκα: οι δημιουργημένοι χαρακτήρες λαμβάνονται υπόψη στον υπολογισμό των συχνοτήτων εμφάνισης. Αν ένα “z” δημιουργείται, τότε η πιθανότητα εμφάνισης “z” στον πίνακα συχνότητας θα αυξηθεί έντονα. Μόλις παραγγελθεί το charset σύμφωνα με αυτόν τον πίνακα, “z” θα είναι στο τέλος του τραπεζιού και θα έχει πολύ λιγότερες αλλαγές που πρέπει να ληφθούν.

Αυτές οι αλλαγές επηρεάζουν επίσης άλλα γράμματα: μετά “z” έχει επιλέξει, την πιθανότητα “ένα”, “μι”, “Μ”, “q”, “μικρό” και “Χ” έχει επίσης αυξηθεί. Αντιθέτως, “h” έχει μειωθεί. Αλλά μετά “h” επιλέγεται, η πιθανότητα εμφάνισής του θα αυξηθεί πολύ.

Η υπόθεσή μας είναι ότι η μέθοδος έχει εφαρμοστεί για να εξαπατηθεί τα τυποποιημένα εργαλεία ρωγμών κωδικού πρόσβασης. Οι κροτίδες κωδικού πρόσβασης όπως ο Hashcat ή ο John the Ripper προσπαθούν να σπάσουν πρώτα πιθανός κωδικός πρόσβασης, ε.σολ. Κωδικοί πρόσβασης που παράγονται από ανθρώπους. Η μέθοδος ρωγμών κωδικού πρόσβασης βασίζεται στο γεγονός ότι υπάρχουν πιθανώς “μι” και “ένα” σε έναν κωδικό πρόσβασης που δημιουργήθηκε από έναν άνθρωπο από “Χ” ή “j”, ή ότι τα bigrams “th” και “αυτός” θα εμφανιστεί πολύ πιο συχνά από “qx” ή “zr”.

Οι αφιερωμένες τεχνικές όπως η Generator Markov, οι οποίες υποθέτουν ότι υπάρχει ένα κρυφό μοντέλο Markov στον τρόπο με τον οποίο παράγονται οι κωδικοί πρόσβασης από τον άνθρωπο, μπορούν να σπάσουν άμεσα αυτή τη μέθοδο γενιάς (βλ. Επιθέσεις Fast Dictionary σε κωδικούς πρόσβασης χρησιμοποιώντας το time-space tradeoff για περισσότερες λεπτομέρειες).

Ως εκ τούτου, οι κωδικοί πρόσβασης που παράγονται από το KPM θα είναι, κατά μέσο όρο, στον κατάλογο των υποψηφίων κωδικών πρόσβασης που δοκιμάζονται από αυτά τα εργαλεία. Εάν ένας εισβολέας προσπαθεί να σπάσει μια λίστα με κωδικούς πρόσβασης που παράγεται από την KPM, πιθανότατα θα περιμένει πολύ καιρό μέχρι να βρεθεί ο πρώτος. Αυτό είναι αρκετά έξυπνο.

Ωστόσο, εάν ένας εισβολέας γνωρίζω Ότι ένας κωδικός πρόσβασης έχει δημιουργηθεί από το KPM, μπορεί να προσαρμόσει το εργαλείο του για να λάβει υπόψη το μοντέλο ακολουθούμενο από KPM. Καθώς αυτοί οι κωδικοί πρόσβασης είναι, με μια ορισμένη έννοια, προκατειλημμένοι (για την αντιμετώπιση των κροτίδων κωδικού πρόσβασης), αυτή η προκατάληψη μπορεί να χρησιμοποιηθεί για τη δημιουργία των πιο πιθανών κωδικών πρόσβασης που παράγονται από αυτό το εργαλείο και οι δοκιμές τους πρώτα. Ένας απλός τρόπος για να το κάνετε θα μπορούσε να είναι να χρησιμοποιήσετε μια γεννήτρια Markov, όπως ο John the Ripper (αυτή η μέθοδος δεν έχει δοκιμαστεί).

Μπορούμε να καταλήξουμε στο συμπέρασμα ότι ο αλγόριθμος γενιάς από μόνη της δεν είναι τόσο κακός: θα αντισταθεί σε τυποποιημένα εργαλεία. Ωστόσο, εάν ένας εισβολέας γνωρίζει ότι ένα άτομο χρησιμοποιεί το KPM, θα είναι σε θέση να σπάσει τον κωδικό πρόσβασής του πολύ πιο εύκολα από έναν πλήρως τυχαίο κωδικό πρόσβασης. Ωστόσο, η σύστασή μας είναι να δημιουργήσουμε τυχαίους κωδικούς πρόσβασης αρκετά καιρό για να είναι πολύ δυνατή για να σπάσει από ένα εργαλείο.

Είδαμε στο παρελθόν ότι η KPM πήρε δύο τυχαίες τιμές $ R_1 $ και $ R_2 $ για να υπολογίσει ένα ευρετήριο στον πίνακα Charset. Αφήνω’Δείτε τώρα πώς υπολογίζονται αυτές οι τιμές.

Kpm’S τυχαίων αριθμών γεννήτρια

Αυτές οι δύο τιμές προέρχονται απευθείας από το KPM PRNG. Αυτό το prng εξάγει ομοιόμορφα επιπλέει μεταξύ 0 και 1, 1 εξαιρούνται.

Το PRNG που χρησιμοποιείται διαφέρει στην επιφάνεια εργασίας και στην έκδοση Web:

• Η έκδοση ιστού χρησιμοποίησε μαθηματικά.τυχαίος() . Αυτή η λειτουργία δεν είναι κατάλληλη για τη δημιουργία κρυπτογραφικά ασφαλείς τυχαίους αριθμούς (που περιλαμβάνει εντροπία που απαιτείται για τη δημιουργία κωδικών πρόσβασης), όπως εξηγείται στο https: // developer.μοίρα.org/en-us/docs/web/javascript/reference/global_objects/math/randoming. Το υποκείμενο PRNG που χρησιμοποιείται από το Chrome, το Firefox και το Safari για τα μαθηματικά.Το Random () είναι XORSHIFT128+. Είναι πολύ γρήγορο, αλλά δεν είναι κατάλληλο για τη δημιουργία κρυπτογραφικού υλικού. Οι συνέπειες της ασφάλειας στο KPM δεν έχουν μελετηθεί, αλλά συμβουλεύσαμε τον Kaspersky να το αντικαταστήσει με παράθυρο.κρυπτογράφηση.getRandomValues ​​(), όπως συνιστάται από τη σελίδα τεκμηρίωσης Mozilla που αναφέρθηκε προηγουμένως.
• Η έκδοση επιφάνειας εργασίας χρησιμοποίησε ένα PRNG που παρέχεται από την Boost: το MT19937 Mersenne Twister. Το Mersenne Twister είναι πολύ καλό και ευρέως χρησιμοποιούμενο PRNG, και το MT 19937 είναι το πιο δημοφιλές Mersenne Twister. Είναι ομοιόμορφα κατανεμημένο, έχει πολύ μεγάλο χρονικό διάστημα και είναι γρήγορη σε σύγκριση με το άλλο “Καλός” Πάσσαλα.

Ωστόσο, χρησιμοποιεί μια καλή ιδέα για τη δημιουργία κωδικών πρόσβασης Mersenne Twister? Σιγουρα οχι.

Το πρόβλημα με αυτή τη γεννήτρια είναι ότι δεν είναι csprng. Γνωρίζοντας μερικά από τα OUPUTS (624 σε αυτή την περίπτωση) επιτρέπει την ανάκτηση της πλήρους κατάστασής του και την πρόβλεψη όλων των τιμών που θα δημιουργήσει, καθώς και όλες τις τιμές που έχει ήδη δημιουργήσει (βλ. Berlekamp-Massey ή Reeds-Sloane Algorithms).

Τα εργαλεία off-the-shelf όπως το Randcrack είναι διαθέσιμα για να σπάσουν την Python’S Random Module, η οποία χρησιμοποιεί μια πολύ παρόμοια (αν όχι η ίδια) εφαρμογή του MT 19937. Θα πρέπει να είναι απαραίτητες μόνο πολύ μικρές προσαρμογές για να σπάσει την εφαρμογή ώθησης.

Στην πράξη, εκμεταλλεύοντας ένα τέτοιο ελάττωμα στο πλαίσιο του Kaspersky’Ο διαχειριστής κωδικού πρόσβασης είναι δύσκολος:

• Οι κωδικοί πρόσβασης είναι σύντομοι: 12 chars από προεπιλογή. Η ανάκτηση 624 chars κωδικού πρόσβασης απαιτεί να αρπάξει 52 κωδικούς πρόσβασης.
• Η τιμή ακατέργαστης εξόδου δεν είναι γνωστή: Η τιμή εξόδου είναι η θέση στο charset κάθε γράμματος του κωδικού πρόσβασης. Θα μπορούσαν να χρειαστούν περισσότερες τιμές.
• Και είδαμε ότι αυτή η θέση στο Charset είναι το προϊόν δύο τιμών που παράγονται από το PRNG.

Δεν βλέπουμε έναν απλό τρόπο να επιτεθεί σε αυτό το PRNG στο πλαίσιο της KPM.

Σπορά του mersenne twister

Είδαμε ότι το PRNG δημιουργεί ομοιόμορφα πλωτήρες στο [0, 1 [[. Ο κώδικας που είναι υπεύθυνος για την αρχικοποίησή του πρέπει να μοιάζει με:

MT19937::result_type σπόρος = . ; αυτο πύργος = στρεβλώ::δένω(στρεβλώ::uniform_real_distributyφλοτέρ>(0,1·, MT19937(σπόρος)) 

Από πού προέρχεται ο σπόρος? Η λειτουργία παραγωγής κωδικού πρόσβασης ονομάζεται έτσι:

στρεβλώ::σειρά pwlib::παρασκευή -κλειδί(pwdlib::Πολιτική πολιτική, int σπόρος·  αν (σπόρος == 0·  Φιλαργύμα ft; GetSystemTimeAsfiletime(&ft) σπόρος = ft.dwlowdateTime + ft.dwhighdatetime; > αυτο πύργος = στρεβλώ::δένω(στρεβλώ::uniform_real_distributyφλοτέρ>(0,1·, MT19937(σπόρος)) ΕΠΙΣΤΡΟΦΗ γενιά -Aderandompassword(πολιτική, πύργος) > 

Αυτό είναι εξαιρετικά ενδιαφέρον για δύο λόγους:

• Ο σπόρος είναι μόλις 32 bits. Αυτό σημαίνει ότι μπορεί να είναι βρώμικο εύκολα.
• Δημιουργείται μια παρουσία του PRNG κάθε φορά που δημιουργείται ένας κωδικός πρόσβασης. Σημαίνει ότι ο Kaspersky Password Manager μπορεί να δημιουργήσει το πολύ $ 2^$ κωδικούς για ένα συγκεκριμένο charset.

Το GetSystemTimeAsfiletime χρησιμοποιείται ως σπόρος μόνο εάν ένας σπόρος δεν παρέχεται στη μέθοδο GeneratePassword. Πώς ονομάζεται αυτή η μέθοδος όταν ένας χρήστης ζητά έναν νέο κωδικό πρόσβασης? Η απάντηση είναι:

στρεβλώ::σειρά pwlib::παρασκευή -κλειδί(pwdlib::Πολιτική πολιτική·  ΕΠΙΣΤΡΟΦΗ παρασκευή -κλειδί(πολιτική, χρόνος(0)) > 

Έτσι, ο σπόρος που χρησιμοποιείται για τη δημιουργία κάθε κωδικού πρόσβασης είναι ο τρέχων χρόνος του συστήματος, σε δευτερόλεπτα. Σημαίνει ότι κάθε περίπτωση του διαχειριστή κωδικού πρόσβασης Kaspersky στον κόσμο θα δημιουργήσει τον ίδιο ακριβώς κωδικό πρόσβασης σε ένα δεδομένο δευτερόλεπτο. Αυτό θα ήταν προφανές να εντοπίσουμε αν κάθε κλικ στο “Παράγω” Το κουμπί, στη διεπαφή γεννήτριας κωδικού πρόσβασης, παρήγαγε τον ίδιο κωδικό πρόσβασης. Ωστόσο, για κάποιο λόγο, η δημιουργία κωδικού πρόσβασης είναι κινούμενη: εμφανίζονται δεκάδες τυχαίοι χαρακτήρες ενώ ο πραγματικός κωδικός πρόσβασης έχει ήδη υπολογιστεί:

Αυτή η κινούμενη εικόνα διαρκεί περισσότερο από 1 δευτερόλεπτο, οπότε δεν είναι δυνατόν να κάνετε κλικ αρκετές φορές στο “Παράγω” κουμπί μέσα σε ένα δευτερόλεπτο. Αυτός είναι σίγουρα ο λόγος για τον οποίο η αδυναμία δεν είχε ανακαλυφθεί πριν.

Οι συνέπειες είναι προφανώς κακές: Κάθε κωδικός πρόσβασης θα μπορούσε να είναι βρώμικος. Για παράδειγμα, υπάρχουν 315619200 δευτερόλεπτα μεταξύ 2010 και 2021, οπότε η KPM θα μπορούσε να δημιουργήσει το πολύ 315619200 κωδικούς πρόσβασης για ένα συγκεκριμένο charset. Το Bruteforing τους διαρκεί λίγα λεπτά.

Είναι αρκετά συνηθισμένο ότι οι ιστότοποι ή τα φόρουμ εμφανίζουν τον χρόνο δημιουργίας λογαριασμών. Γνωρίζοντας την ημερομηνία δημιουργίας ενός λογαριασμού, ένας εισβολέας μπορεί να προσπαθήσει να βρουν τον κωδικό πρόσβασης λογαριασμού με ένα μικρό φάσμα κωδικών πρόσβασης (~ 100) και να αποκτήσει πρόσβαση σε αυτό.

Επιπλέον, κωδικοί πρόσβασης από διαρροές βάσεις δεδομένων που περιέχουν κωδικούς πρόσβασης, κωδικούς πρόσβασης για κρυπτογραφημένα αρχεία, όγκους TRUECRYPT/VERACRYPT κ.λπ. μπορεί επίσης να ανακτηθεί εύκολα εάν είχαν δημιουργηθεί χρησιμοποιώντας διαχειριστή κωδικού πρόσβασης Kaspersky.

Μια απροσδόκητη πηγή εντροπίας: ανάγνωση εκτός ορίων

Έγραψαν μια απόδειξη της έννοιας για να βεβαιωθούμε ότι δεν χάσαμε κάτι. Δημιουργεί μια λίστα με 1000 πιθανούς κωδικούς πρόσβασης από την τρέχουσα ώρα. Για να δοκιμάσετε το POC:

Συντάξτε το παρεχόμενο POC (PWLIB.CPP). Το αρχείο πρέπει να καταρτίζεται με οπτική C ++ (οι κυμαινόμενες τιμές στον πηγαίο κώδικα δεν έχουν τις ίδιες τιμές όταν καταρτίζονται με clang ή gcc). Χρησιμοποίησα το Visual C ++ 2017 για τις δοκιμές μου. Χρησιμοποιώντας μια πρόσκληση εντολών για οπτικά C ++ 32 bits, εισάγετε:

 cmake -bbuild -h. msbuild build \ pwbrute.vcxproj 

 Εντοπισμός σφαλμάτων \ pwbrute.Exe> Pass.κείμενο 

• Μόνο πεζά
• 12 chars

Δεν είναι πλήρως λειτουργικό, αλλά μας επέτρεψε να ανακαλύψουμε ένα σφάλμα στη διαδικασία δημιουργίας κωδικού πρόσβασης, στη λειτουργία που υπολογίζει την πιθανότητα εμφάνισης μιας δεδομένης επιστολής που γνωρίζει τα προηγουμένως παραγόμενα chars. Εδώ είναι ο ψευδο -κώδικας για τη μέθοδο GetContextProbabilities:

 κονσερβός φλοτέρ *getContextProbabilities(κονσερβός στρεβλώ::σειρά &Κωδικός πρόσβασης·  στρεβλώ::σειρά κατώτερη λέξη; // μετατρέψτε σε πεζά, κρατήστε μόνο πεζά Για (απανθρακώνω ντο : Κωδικός πρόσβασης·  αν (νησί(ντοΟυσία  κατώτερη λέξη += ντο; > αλλού αν (ισοπερά(ντοΟυσία  κατώτερη λέξη += απανθρακώνω(ντο - 'ΕΝΑ' + 'ένα') > > . int n = 0; Για (int Εγώ = κατώτερη λέξη.μήκος() - 1; Εγώ > = 0; Εγώ--·  int δείκτης = Κωδικός πρόσβασης[Εγώ] - 'ένα'; // fixme: Αντικαταστήστε με lowercasepassword 

Ο κωδικός πρόσβασης που κατασκευάζεται μετατρέπεται σε πεζά. Απομακρύνονται μη γράμματα. Τότε, υπάρχει μια επανάληψη στο Κωδικός πρόσβασης Αντί για τον πεζά κωδικό πρόσβασης που μόλις δημιουργήθηκε. Αυτό οδηγεί σε λάθος υπολογισμό της μεταβλητής ευρετηρίου (η θέση ενός γράμματος στο αλφάβητο). Αυτός ο δείκτης χρησιμοποιείται για την ανάκτηση ενός στοιχείου ενός πίνακα. Αυτό οδηγεί σε μια εκτός ορίων που διαβάζουν αυτήν τη συστοιχία.

Η συχνότητα εμφανίσεων υπολογίζεται στη συνέχεια από μη εικονισμένα ή αυθαίρετα δεδομένα σε ορισμένες περιπτώσεις. Αν και ο αλγόριθμος είναι λάθος, κάνει πραγματικά τους κωδικούς πρόσβασης πιο δύσκολο να βρυχοδιαστεί σε ορισμένες περιπτώσεις.

Το επιτιθέμενο POC δημιουργεί υποψήφιους για τους μικρότερους κωδικούς πρόσβασης μόνο έτσι ώστε ο δείκτης να υπολογίζεται πάντα σωστά (αλλιώς το POC απαιτεί να προσαρμοστεί).

Αποκατάσταση

Ο Kaspersky ανέθεσε CVE-2020-27020 σε αυτή την ευπάθεια και δημοσίευσε μια συμβουλευτική ασφάλεια στην ιστοσελίδα τους: https: // υποστήριξη.κάπερσκι.com/general/ευπάθεια.ASPX?EL = 12430#270421.

Όλες οι εκδόσεις πριν από αυτές επηρεάζονται:

• Kaspersky Password Manager για Windows 9.0.2 Patch F
• Kaspersky Password Manager για Android 9.2.14.872
• Kaspersky Password Manager για iOS 9.2.14.31

Στα Windows, το Mersenne Twister PRNG έχει αντικατασταθεί με τη λειτουργία BcryptGenRandom:

φλοτέρ Τυχαίος(Bcrypt_alg_handle *χλοοτάπτης·  uint32_t μεγάλο; Π.Χ(*χλοοτάπτης, (uint8_t *·&μεγάλο, μέγεθος του(μεγάλο·, 0) ΕΠΙΣΤΡΟΦΗ (φλοτέρ·μεγάλο * (1.0φά / 0x100000000) > 

Η τιμή επιστροφής αυτής της συνάρτησης δεν ελέγχθηκε στις εκδόσεις beta που παρέχεται από τον Kaspersky, αλλά υποθέτουμε ότι αυτό έχει διορθωθεί τώρα.

Μαθηματικά.Το Random () στην έκδοση ιστού έχει αντικατασταθεί από το ασφαλές παράθυρο.κρυπτογράφηση.μέθοδος getRandomValues ​​().

Οι εκδόσεις Android και iOS έχουν επίσης ενημερωθεί, αλλά δεν έχουμε εξετάσει τις διορθώσεις.

συμπέρασμα

Ο Kaspersky Password Manager χρησιμοποίησε μια σύνθετη μέθοδο για τη δημιουργία των κωδικών πρόσβασης. Αυτή η μέθοδος αποσκοπούσε στη δημιουργία κωδικών πρόσβασης που είναι δύσκολο να σπάσει για τυποποιημένες κροτίδες κωδικού πρόσβασης. Ωστόσο, αυτή η μέθοδος μειώνει τη δύναμη των παραγόμενων κωδικών πρόσβασης έναντι ειδικών εργαλείων. Δείξαμε πώς να δημιουργήσουμε ασφαλείς κωδικούς πρόσβασης που λαμβάνουν το Keepass ως παράδειγμα: απλές μέθοδοι όπως οι τυχαίες ισοπαλίες είναι ασφαλείς, μόλις ξεφορτωθείτε το “μεροληψία” Ενώ ρίξατε μια επιστολή από ένα δεδομένο φάσμα χαρακτήρων.

Μελετήσαμε επίσης το Kaspersky’s prng, και έδειξε ότι ήταν πολύ αδύναμο. Η εσωτερική του δομή, ένα Mersenne Twister που λαμβάνεται από τη βιβλιοθήκη Boost, δεν είναι κατάλληλη για τη δημιουργία κρυπτογραφικού υλικού. Αλλά το μεγαλύτερο ελάττωμα είναι ότι αυτό το PRNG σπέρθηκε με την τρέχουσα ώρα, σε δευτερόλεπτα. Αυτό σημαίνει ότι κάθε κωδικός πρόσβασης που παράγεται από ευάλωτες εκδόσεις του KPM μπορεί να είναι βρώμικη σε λεπτά (ή σε ένα δευτερόλεπτο εάν γνωρίζετε περίπου τον χρόνο γενιάς).

Τέλος, δώσαμε μια απόδειξη της έννοιας που περιγράφει λεπτομερώς τη μέθοδο πλήρους γενιάς που χρησιμοποιείται από την KPM. Μπορεί να χρησιμοποιηθεί για την επαλήθευση του ελάττωμα είναι πράγματι παρόν σε εκδόσεις Windows του Kaspersky Password Manager < 9.0.2 Patch F. Incidentally, writing this PoC allowed us to spot an out of bounds read during the computation of the frequency of appearance of password chars, which makes passwords a bit stronger that they should have been.

Χρονοδιάγραμμα

• 15 Ιουνίου 2019: Έκθεση και απόδειξη της έννοιας που αποστέλλεται στο Kasperky μέσω του Hackerone.
• 17 Ιουνίου 2019: Ο Kaspersky αναγνωρίζει ότι έχει λάβει την έκθεση.
• 25 Ιουνίου 2019: Ο Kaspersky επιβεβαιώνει την ευπάθεια.
• 4 Οκτωβρίου 2019: Ο Kaspersky στέλνει μια ιδιωτική δημιουργία παραθύρων, ώστε να μπορέσουμε να ελέγξουμε τα σφάλματα που έχουν διορθωθεί και μας ενημερώνει ότι θα αναπτύξουν μια λύση για να χειριστούν προηγουμένως τους κωδικούς πρόσβασης πριν από το τέλος του έτους.
• 8 Οκτωβρίου 2019: Επιβεβαιώνουμε ότι τα τρωτά σημεία έχουν καθοριστεί, αλλά ανέφεραν ένα νέο μικρό ελάττωμα στην επιδιόρθωση.
• 10 Οκτωβρίου 2019: Kaspersky Password Manager για τα Windows 9.0.Το 2 patch d απελευθερώνεται, καθορίζοντας τα τρωτά σημεία, αλλά χωρίς την επιδιόρθωση για το αναφερόμενο ελάττωμα. Η έκδοση ιστού ενημερώνεται επίσης.
• 9 Οκτωβρίου 2019: Kaspersky Password Manager για Android έκδοση 9.2.14.872 με το Fix απελευθερώνεται.
• 10 Οκτωβρίου 2019: Kaspersky Password Manager για iOS Έκδοση 9.2.14.31 με το FIX απελευθερώνεται.
• 10 Δεκεμβρίου 2019: Kaspersky Password Manager για τα Windows 9.0.2 Το Patch F απελευθερώνεται κλείνοντας το ελάττωμα στο Patch D.
• 9 Απριλίου 2020: Ο Kaspersky μας ενημερώνει ότι θα κυκλοφορήσει ένα έμπλαστρο τον Οκτώβριο για να χειριστεί προηγουμένως τους κωδικούς πρόσβασης.
• 13 Οκτωβρίου 2020: Kaspersky Password Manager 9.0.Το 2 patch m απελευθερώνεται, με ειδοποίηση στους χρήστες για να τους ενημερώσουν ότι κάποιος κωδικός πρόσβασης πρέπει να δημιουργηθεί εκ νέου. Ο Kaspersky μας ενημερώνει ότι η ίδια ειδοποίηση θα είναι επίσης παρούσα σε κινητές εκδόσεις κατά το πρώτο τρίμηνο του 2021. Το CVE-2020-27020 έχει επίσης επιφυλαχθεί.
• 28 Δεκεμβρίου 2020: Ο Kaspersky συμφωνεί ότι μια αναφορά σχετικά με την ευπάθεια μπορεί να αποκαλυφθεί μετά τη δημοσίευση της CVE.
• 27 Απριλίου 2021: Δημοσιεύεται η συμβουλευτική ασφάλεια Kaspersky.
• 14 Μαΐου 2021: Δημοσιεύονται πληροφορίες για το CVE-2020-27020.

Jean-Baptiste Bédrune

Επικεφαλής της έρευνας ασφαλείας

Έχει η Kaspersky μια γεννήτρια κωδικού πρόσβασης?

Η ασφάλεια των δεδομένων σας εξαρτάται σε μεγάλο βαθμό από τη δύναμη του κωδικού πρόσβασής σας. Ένας κωδικός πρόσβασης θεωρείται ισχυρός εάν περιέχει τουλάχιστον 16 χαρακτήρες, συμπεριλαμβανομένων κεφαλαία και πεζά λατινικά γράμματα, ψηφία και ειδικούς χαρακτήρες. Ο Kaspersky Password Manager δημιουργεί μοναδικούς και ισχυρούς κωδικούς πρόσβασης. Μπορείτε να καθορίσετε το μήκος του κωδικού πρόσβασης και να επιλέξετε εάν θα συμπεριλάβετε ψηφία, γράμματα και ειδικούς χαρακτήρες. Μπορείτε να χρησιμοποιήσετε τη γεννήτρια κωδικών πρόσβασης όταν δημιουργείτε έναν νέο λογαριασμό ιστότοπου ή αλλάζετε τον κωδικό πρόσβασής σας για έναν υπάρχοντα λογαριασμό.

1. Ανοίξτε το παράθυρο γεννήτριας κωδικού πρόσβασης με έναν από τους ακόλουθους τρόπους:
   • Στο κύριο παράθυρο εφαρμογής, κάντε κλικ στην επιλογή Γεννήτρια κωδικών πρόσβασης .
   • Σε ένα παράθυρο προγράμματος περιήγησης, κάντε κλικ στο εικονίδιο εφαρμογής → Το εικονίδιο γεννήτριας κωδικού πρόσβασης .
   • Σε ένα πεδίο κωδικού πρόσβασης σε έναν ιστότοπο, τοποθετείτε το δείκτη του πεδίου ή κάντε κλικ στο εικονίδιο πλήκτρου Για να καλέσετε το παράθυρο γεννήτριας κωδικού πρόσβασης.

Ανοίγει το παράθυρο Generator Password και η εφαρμογή δημιουργεί έναν κωδικό πρόσβασης χρησιμοποιώντας τις προεπιλεγμένες ρυθμίσεις.

Αλλάξτε τις παραμέτρους κωδικού πρόσβασης εάν χρειαστεί και πατήστε το κουμπί Arrows Circle Για να δημιουργήσετε τον κωδικό πρόσβασης. Η εφαρμογή υποδεικνύει εάν η ισχύς του κωδικού πρόσβασης είναι μέτρια ή χαμηλή.

Εάν θέλετε να αποθηκεύσετε παραμέτρους δημιουργίας κωδικού πρόσβασης, επιλέξτε την προσαρμοσμένη επιλογή στην καρτέλα Ρυθμίσεις και καθορίστε τις παραμέτρους που χρειάζεστε. Οι παράμετροι σας θα αποθηκευτούν ακόμη και αν αλλάξετε την καρτέλα ή κλείσετε το παράθυρο.

Κάντε κλικ .

Η εφαρμογή αντιγράφει τον παράγοντα πρόσβασης στο πρόχειρο. Μπορείτε να επικολλήσετε χειροκίνητα τον κωδικό πρόσβασης στο απαιτούμενο πεδίο. Εάν χρησιμοποιείτε τη γεννήτρια κωδικών πρόσβασης για να δημιουργήσετε ένα νέο λογαριασμό ιστότοπου ή να αλλάξετε τον κωδικό πρόσβασής σας για έναν υπάρχοντα λογαριασμό, η εφαρμογή επικολλάται αυτόματα τον κωδικό πρόσβασης στο απαιτούμενο πεδίο.

Επίσης, μπορείτε να δημιουργήσετε έναν ισχυρό και μοναδικό κωδικό πρόσβασης ενώ προσθέτετε νέο ιστότοπο, εφαρμογή ή άλλο .

1. Στο κύριο παράθυρο εφαρμογής, κάντε κλικ στην επιλογή Προσθήκη, κάντε κλικ στην επιλογή Λογαριασμός και επιλέξτε Ιστοσελίδα, εφαρμογή ή άλλη . Ανοίγει το παράθυρο εισόδου.
2. Στο πεδίο κωδικού πρόσβασης, κάντε κλικ στην επιλογή Δημιουργία . Ανοίγει το παράθυρο Generator Password και η εφαρμογή δημιουργεί έναν κωδικό πρόσβασης χρησιμοποιώντας τις προεπιλεγμένες ρυθμίσεις.
3. Καθορίστε παραμέτρους δημιουργίας κωδικού πρόσβασης εάν χρειάζεται.
4. Κάντε κλικ . Η εφαρμογή επικολλεί αυτόματα τον κωδικό πρόσβασης στο απαιτούμενο πεδίο.

Ο Kaspersky Password Manager αποθηκεύει τους τελευταίους 5 δημιουργημένους κωδικούς πρόσβασης που αντιγράφονται στο πρόχειρο, σε περίπτωση που τα χάσετε. Μπορείτε να δείτε τους αντιγραμμένους κωδικούς πρόσβασης στο ιστορικό γεννήτριας κωδικού πρόσβασης. Η εφαρμογή αποθηκεύει τους κωδικούς πρόσβασης στον υπολογιστή σας και δεν τους συγχρονίζει σε συσκευές.

Εάν το θησαυροφυλάκιο σας ξεκλειδωθεί, η γεννήτρια κωδικών πρόσβασης είναι διαθέσιμη.

1. Ανοίξτε το παράθυρο γεννήτριας κωδικού πρόσβασης.
2. Κάντε κλικ στην καρτέλα Ιστορικό κωδικού πρόσβασης. Ανοίγει μια λίστα με τους πιο πρόσφατα αντιγραφείς κωδικούς πρόσβασης.
3. Εάν θέλετε να αντιγράψετε έναν κωδικό πρόσβασης στο πρόχειρο, κάντε κλικ στο κουμπί αντιγραφής δίπλα στον κωδικό πρόσβασης. Ο κωδικός πρόσβασης αντιγράφεται στο πρόχειρο.
4. Εάν θέλετε να διαγράψετε το ιστορικό γεννήτριας κωδικού πρόσβασης, κάντε κλικ στην επιλογή Καθαρίστε όλα . Οι αντιγραφείς κωδικοί πρόσβασης διαγράφονται από το ιστορικό.

Έχει η Kaspersky μια γεννήτρια κωδικού πρόσβασης?

Η ασφάλεια των δεδομένων σας εξαρτάται σε μεγάλο βαθμό από τη δύναμη του κωδικού πρόσβασής σας. Ένας κωδικός πρόσβασης θεωρείται ισχυρός εάν περιέχει τουλάχιστον οκτώ χαρακτήρες, συμπεριλαμβανομένων κεφαλαία και πεζά λατινικά γράμματα, ψηφία και ειδικούς χαρακτήρες. Ο Kaspersky Password Manager δημιουργεί μοναδικούς και ισχυρούς κωδικούς πρόσβασης. Μπορείτε να καθορίσετε το μήκος του κωδικού πρόσβασης και να επιλέξετε εάν θα συμπεριλάβετε ψηφία και ειδικούς χαρακτήρες. Μπορείτε να χρησιμοποιήσετε τη γεννήτρια κωδικών πρόσβασης όταν δημιουργείτε έναν νέο λογαριασμό ιστότοπου ή αλλάζετε τον κωδικό πρόσβασής σας για έναν υπάρχοντα λογαριασμό.

1. Ξεκλειδώστε το θόλο εισάγοντας τον κύριο κωδικό πρόσβασης και χτυπήστε το ξεκλείδωμα . Εάν η συσκευή σας υποστηρίζει το αναγνωριστικό Touch/Face ID και το αναγνωριστικό Touch/Face ID είναι ενεργοποιημένο στις ρυθμίσεις της εφαρμογής, μπορείτε να το χρησιμοποιήσετε για να ξεκλειδώσετε το θησαυροφυλάκιο σας αντί να εισαγάγετε τον κύριο κωδικό πρόσβασης.
2. Στη γραμμή καρτέλας κάτω, πατήστε προφίλ . Στα iPads, η γραμμή γρήγορης πρόσβασης εμφανίζεται πάντα στο αριστερό τμήμα της οθόνης.
3. Στη γραμμή γρήγορης πρόσβασης, πατήστε γεννήτρια κωδικού πρόσβασης . Ανοίγει το παράθυρο Generator Password και η εφαρμογή δημιουργεί έναν κωδικό πρόσβασης χρησιμοποιώντας τις προεπιλεγμένες παραμέτρους.
4. Αλλάξτε τις παραμέτρους κωδικού πρόσβασης εάν χρειαστεί:
   • Πατήστε το μήκος κωδικού πρόσβασης για να καθορίσετε τον αριθμό των χαρακτήρων που θα χρησιμοποιηθούν κατά τη δημιουργία κωδικών πρόσβασης.
   • Ενεργοποιήστε/απενεργοποιήστε τα κεφαλαία γράμματα (A -Z) για να χρησιμοποιήσετε/μην χρησιμοποιείτε κεφαλαία γράμματα κατά τη διάρκεια της παραγωγής κωδικού πρόσβασης. Από προεπιλογή, αυτός ο διακόπτης εναλλαγής είναι ενεργοποιημένος.
   • Ενεργοποιήστε/απενεργοποιήστε τα πεζά γράμματα (A -Z) για να χρησιμοποιήσετε/μην χρησιμοποιείτε πεζά γράμματα κατά τη διάρκεια της παραγωγής κωδικού πρόσβασης. Από προεπιλογή, αυτός ο διακόπτης εναλλαγής είναι ενεργοποιημένος.
   • Ενεργοποιήστε/απενεργοποιήστε τα ψηφία (0-9) για να χρησιμοποιήσετε/μην χρησιμοποιήσετε αριθμούς κατά τη διάρκεια της παραγωγής κωδικού πρόσβασης. Από προεπιλογή, αυτός ο διακόπτης εναλλαγής είναι ενεργοποιημένος.
   • Ενεργοποιήστε/απενεργοποιήστε ειδικούς χαρακτήρες για χρήση/μη χρήση ειδικών χαρακτήρων κατά τη διάρκεια της παραγωγής κωδικού πρόσβασης. Από προεπιλογή, αυτός ο διακόπτης εναλλαγής είναι ενεργοποιημένος. Μπορείτε να προσθέσετε ή να διαγράψετε ειδικούς χαρακτήρες που χρησιμοποιούνται κατά τη διάρκεια της παραγωγής κωδικού πρόσβασης στο πεδίο κάτω από το διακόπτη εναλλαγής.

Για την ευκολία σας, αποκλείσαμε τα ακόλουθα παρόμοια σύμβολα από την παραγωγή κωδικού πρόσβασης: 0 (μηδέν), O (Capital O), I (Capital I) και L (Small L).

Η εφαρμογή δημιουργεί αυτόματα έναν νέο κωδικό πρόσβασης όταν αλλάζουν οι παράμετροι. Εάν η ισχύς του παραγόμενου κωδικού πρόσβασης είναι μεσαίου ή χαμηλής, ο Kaspersky Password Manager σας ειδοποιεί κάτω από τον κωδικό πρόσβασης. Πατήστε ξανά για να δημιουργήσετε έναν κωδικό πρόσβασης χρησιμοποιώντας τις επιλεγμένες παραμέτρους.

Η εφαρμογή αντιγράφει τον παράγοντα που δημιουργείται στο πρόχειρο. Μπορείτε να επικολλήσετε χειροκίνητα τον κωδικό πρόσβασης στο απαιτούμενο πεδίο. Όταν κλείνετε το παράθυρο γεννήτριας κωδικού πρόσβασης, η εφαρμογή αποθηκεύει τις επιλεγμένες παραμέτρους κωδικού πρόσβασης μέχρι να ξεκλειδωθεί το θόλο.

Για να δημιουργήσετε γρήγορα κωδικούς πρόσβασης και να τις αντιγράψετε στο πρόχειρο, μπορείτε επίσης να χρησιμοποιήσετε το widget κωδικών πρόσβασης στην αρχική οθόνη της συσκευής σας. Βρείτε περισσότερες πληροφορίες σχετικά με την προσθήκη γραφικών στοιχείων στον ιστότοπο υποστήριξης της Apple.

Διαχειριστής κωδικών πρόσβασης

Το Kaspersky Password Manager είναι ένα απαραίτητο εργαλείο για τον ενεργό χρήστη του Διαδικτύου. Αυτοματοποιεί πλήρως τη διαδικασία εισαγωγής κωδικών πρόσβασης και άλλων δεδομένων σε ιστότοπους και αποθηκεύει τον χρήστη να πηγαίνει στο πρόβλημα της δημιουργίας και της ανάμνηση πολλαπλών κωδικών πρόσβασης.

Όταν χρησιμοποιείτε το Kaspersky Password Manager για να συνδεθείτε, μπορείτε να είστε σίγουροι ότι τα δεδομένα σας είναι ασφαλή. Το λογισμικό δημιουργεί εξαιρετικά ισχυρούς κωδικούς πρόσβασης και εμποδίζει την κλοπή των πληροφοριών σύνδεσής σας. Όλα τα εμπιστευτικά δεδομένα κρυπτογραφούνται και διατηρούνται σε μια ειδική βάση δεδομένων στον υπολογιστή σας.

Ο Kaspersky Password Manager κάνει την εμπειρία σας στο διαδίκτυο ασφαλέστερη, ταχύτερη και πιο βολική.

Τελευταίες εκδόσεις

Ωφελείται

Σας επιτρέπει να έχετε πρόσβαση σε ιστότοπους και εφαρμογές με ένα μόνο κλικ του ποντικιού
Αποθηκεύει τους κωδικούς πρόσβασης σε μια κρυπτογραφημένη βάση δεδομένων στον υπολογιστή σας δημιουργεί έναν ισχυρό, μοναδικό κωδικό πρόσβασης για κάθε λογαριασμό
Περιλαμβάνει μια έκδοση για κινητά που μπορεί να φορτωθεί από μια μονάδα flash και να εκτελέσει σε άλλο υπολογιστή
Συμπληρώνει μακρά έντυπα για εσάς αυτόματα

Βασικά χαρακτηριστικά

• Συνδεθείτε με ένα μόνο κλικ του ποντικιού
  Ο Kaspersky Password Manager θυμάται τα ονόματα χρήστη και τους σχετικούς κωδικούς πρόσβασης, έτσι ώστε όταν επιστρέψετε σε έναν ιστότοπο θα παρέχει αυτόματα τα δεδομένα σύνδεσης. Ο Kaspersky Password Manager συνεργάζεται επίσης με εφαρμογές που απαιτούν έλεγχο ταυτότητας.
• Αξιόπιστη προστασία για τους κωδικούς πρόσβασης
  Η Kaspersky Password Manager αποθηκεύει με ασφάλεια τους κωδικούς πρόσβασης και τα προσωπικά σας δεδομένα σε μια ειδική, κρυπτογραφημένη βάση δεδομένων στον υπολογιστή σας. Οι αποθηκευμένοι κωδικοί πρόσβασης μπορούν να αποκρυπτογραφηθούν μόνο με τη χρήση ενός κύριου κωδικού πρόσβασης ή άλλης μεθόδου ελέγχου ταυτότητας που ορίζεται από τον χρήστη. Αυτό εξασφαλίζει ότι οι κωδικοί πρόσβασής σας είναι ασφαλείς και εμποδίζουν τους εγκληματίες να τους κλέψουν.
• Υποστηρίζει διάφορες μεθόδους ταυτότητας
  Το Kaspersky Password Manager σας βοηθά να ελέγξετε την πρόσβαση στη βάση δεδομένων κωδικού πρόσβασης με έναν κύριο κωδικό πρόσβασης ή χρησιμοποιώντας μια συσκευή USB ή Bluetooth. Μπορείτε ακόμη να χρησιμοποιήσετε το κινητό σας τηλέφωνο: Οι κωδικοί πρόσβασής σας μπορούν να ρυθμιστούν έτσι ώστε να είναι διαθέσιμα μόνο όταν το κινητό σας τηλέφωνο είναι συνδεδεμένο στον υπολογιστή σας μέσω Bluetooth. Εάν αφήσετε τον υπολογιστή σας και πάρετε μαζί σας το τηλέφωνό σας, η βάση δεδομένων θα κλειδώσει αυτόματα.
• Δημιουργία ισχυρών κωδικών πρόσβασης
  Η ασφάλεια των δεδομένων σας εξαρτάται άμεσα από το πόσο ισχυροί είναι οι κωδικοί πρόσβασής σας. Οι χρήστες έχουν συχνά παρόμοιους ή ίδιους κωδικούς πρόσβασης για πολλούς λογαριασμούς. Με τη διάσπαση ενός κωδικού πρόσβασης, ένας κυβερνοχώρος μπορεί εύκολα να αποκτήσει πρόσβαση σε πολλούς λογαριασμούς. Η γεννήτρια κωδικών πρόσβασης που ενσωματώνεται στο Kaspersky Password Manager θα δημιουργήσει ισχυρούς κωδικούς πρόσβασης για εσάς που είναι εξαιρετικά δύσκολο να σπάσουν.
• Εισαγωγή κωδικών πρόσβασης από άλλα λειτουργικά συστήματα και εφαρμογές
  Με τον Internet Explorer ή το Mozilla Firefox, οι κωδικοί πρόσβασης αποθηκεύονται σε μη προστατευμένη μορφή και μπορούν εύκολα να προσεγγιστούν από τους εγκληματίες στον κυβερνοχώρο. Το Kaspersky Password Manager σας βοηθά να εντοπίσετε αυτούς τους μη προστατευμένους κωδικούς πρόσβασης και να τις εισαγάγετε στην κρυπτογραφημένη βάση δεδομένων κωδικού πρόσβασης.
• Εκδοχή για κινητά
  Διαχειριστής κωδικού πρόσβασης Kaspersky&rsquo;Το S Mobile Version παρέχει πρόσβαση στους κωδικούς πρόσβασης ενώ εργάζεστε σε οποιονδήποτε υπολογιστή, χωρίς να χρειάζεται να εγκαταστήσετε κάτι. Η έκδοση για κινητά μπορεί να ξεκινήσει από διαφορετικούς τύπους κινητών συσκευών, συμπεριλαμβανομένων των μονάδων flash. Εάν η συσκευή αφαιρεθεί, η Kaspersky Password Manager κλειδώνει αυτόματα τη βάση δεδομένων κωδικού πρόσβασης και αφαιρεί οποιοδήποτε ίχνος των δεδομένων κωδικού πρόσβασης από το μηχάνημα κεντρικού υπολογιστή.
• Ολοκληρώνει αυτόματα τις μακρές φόρμες
  Τα έντυπα ιστότοπου απαιτούν συχνά την εισαγωγή προσωπικών πληροφοριών πέρα ​​από αυτό του ονόματος χρήστη και του κωδικού πρόσβασης. Τέτοια πρόσθετα δεδομένα μπορεί να περιλαμβάνουν: το πλήρες όνομά σας, την ημερομηνία γέννησης, το φύλο, τη διεύθυνση ηλεκτρονικού ταχυδρομείου, τον αριθμό τηλεφώνου, τη χώρα διαμονής κ.λπ. Ο Kaspersky Password Manager μπορεί να συμπληρώσει αυτόματα αυτά τα έντυπα για εσάς, χρησιμοποιώντας πληροφορίες που παρέχετε εκ των προτέρων. Αρκετές δελτίο ταυτότητας μπορούν να χρησιμοποιηθούν για την αποθήκευση ξεχωριστά και προσωπικά στοιχεία που σχετίζονται με τις επιχειρήσεις και τα προσωπικά στοιχεία.
• Αρκετά ονόματα χρήστη για έναν ενιαίο πάροχο λογαριασμού
  Μερικές φορές, αρκετοί κωδικοί πρόσβασης πρέπει να αποθηκευτούν για έναν μόνο ιστότοπο. Για παράδειγμα, μπορεί να έχετε πολλά γραμματοκιβώτια, το καθένα με διαφορετικό σκοπό, εγγεγραμμένο σε έναν παροχέα υπηρεσιών αλληλογραφίας. Ο Kaspersky Password Manager μπορεί να αποθηκεύσει πολλά ονόματα χρήστη για έναν ενιαίο πάροχο και να ελέγξει ποιο θέλετε να χρησιμοποιήσετε όταν συνδεθείτε.
• Αυτόματο αντίγραφο ασφαλείας
  Το Kaspersky Password Manager δημιουργεί αυτόματα ένα αντίγραφο αντιγράφων ασφαλείας της βάσης δεδομένων κωδικού πρόσβασης στον υπολογιστή σας κάθε φορά που τροποποιείται. Μπορείτε εύκολα να επαναφέρετε τους κωδικούς πρόσβασής σας εάν η τρέχουσα βάση δεδομένων είναι κατά λάθος κατεστραμμένη ή εάν θέλετε να επιστρέψετε σε μια προηγούμενη έκδοση.
• Αποτελεσματική προστασία από το Keyloggers
  Ένα keylogger είναι ένα κακόβουλο πρόγραμμα που παρακολουθεί τις πληκτρολογήσεις στο θύμα&rsquo;S υπολογιστή για να καταγράψει παράνομα τον χρήστη&rsquo;τα προσωπικά δεδομένα, όπως κωδικοί πρόσβασης. Ο Kaspersky Password Manager εισάγει κωδικούς πρόσβασης χωρίς να χρησιμοποιεί το πληκτρολόγιο και έτσι προστατεύει αποτελεσματικά τα προσωπικά σας δεδομένα από το Keyloggers.
• Προστασία από επιθέσεις ηλεκτρονικού ψαρέματος
  Το phishing είναι ένας τύπος εχθρικής δραστηριότητας με τον οποίο ένας κυβερνοχώρος καλεί τον χρήστη να επισκεφθεί έναν ιστότοπο για να εξαπατήσει τον χρήστη να αποκαλύψει τα στοιχεία του λογαριασμού του. Ο ψεύτικος ιστότοπος φαίνεται πανομοιότυπος με τον αρχικό ιστότοπο και ένας άθετος χρήστης παρέχει συνεπώς τα προσωπικά του δεδομένα. Ο Kaspersky Password Manager αντισταθμίζει αποτελεσματικά τις επιθέσεις ηλεκτρονικού ψαρέματος, ελέγχοντας εάν η διεύθυνση URL είναι αυθεντική και εάν το λογισμικό σας είναι ενημερωμένο.

Απαιτήσεις συστήματος

Σημειώστε ότι δεν προσφέρουμε υποστήριξη για εκδόσεις βήτα ή προεπισκοπήσεις νέων λειτουργικών συστημάτων e.σολ. παράθυρα 8.1 προεπισκόπηση. Θα υποστηριχθούν μόνο οι τελικές επίσημες εκδόσεις.

• Microsoft Windows XP Home Edition
• Microsoft Windows XP Professional
• Microsoft Windows XP Professional X64 Edition
• Microsoft Windows Vista Home Basic (32/64 bit)
• Microsoft Windows Vista Home Premium (32/64 bit)
• Microsoft Windows Vista Business (32/64 bit)
• Microsoft Windows Vista Enterprise (32/64 bit)
• Microsoft Windows Vista Ultimate (32/64 bit)
• Microsoft Windows 7 Home Premium (32/64 bit)
• Microsoft Windows 7 Professional (32/64 bit)
• Microsoft Windows 7 Ultimate (32/64 bit)
• Windows 8 (32/64 bit)
• Windows 8 Pro (32/64 bit)
• Windows 8 Enterprise (32/64 bit)

• Τουλάχιστον 512 MB διαθέσιμη μνήμη RAM
  10 MB ελεύθερος χώρος στον σκληρό δίσκο
  ποντίκι υπολογιστή

• Microsoft Internet Explorer 6.0 - 10.0
• Mozilla Firefox 2.x - 25.Χ
• Google Chrome 6.0 - 30.0
• Maxthon 2.5.Χ
• Σμήνος 2.х
• Seamonkey 2.0.8 - 2.22
• Yandex 1.5

Ο Kaspersky Password Manager έχει δημιουργήσει κακούς κωδικούς πρόσβασης

Η γεννήτρια τυχαίων αριθμών στον διαχειριστή κωδικού πρόσβασης Kaspersky δεν ήταν σχεδόν αρκετά τυχαία. Εδώ γιατί.

Γράφτηκε από τον Adam Rowe

Δημοσιεύθηκε στις 7 Ιουλίου 2021

Θα μπορούσατε να συγχωρεθείτε για την ανάληψη ενός τυχαία κωδικού πρόσβασης που δημιουργήθηκε τυχαία. Αυτό δεν συνέβη ακριβώς για τον Kaspersky Password Manager για λίγο κάτω από δύο χρόνια.

Ο διαχειριστής κωδικού πρόσβασης του Cybersecurity Company είχε χρησιμοποιήσει έναν ενσωματωμένο αυτόματο γενιά με ένα ιδιαίτερα έντονο ελάττωμα. Έχουν διορθωθεί, αλλά κάθε χρήστες του Kaspersky Password Manager θα πρέπει να αλλάξουν τους κωδικούς πρόσβασης που δημιουργούνται προηγουμένως το συντομότερο δυνατόν.

Εδώ είναι τι πήγε στραβά.

Το ελάττωμα

Η γεννήτρια κωδικών πρόσβασης λειτουργεί για τη δημιουργία κωδικών πρόσβασης ακολουθώντας ένα σετ &ldquo;πολιτική,&rdquo; Με ρυθμίσεις που περιλαμβάνουν μήκος κωδικού πρόσβασης, κεφαλαία γράμματα, πεζά γράμματα, ψηφία και προσαρμοσμένο σύνολο ειδικών χαρακτήρων. Μπορούν να προσαρμοστούν, αλλά η προεπιλεγμένη πολιτική είναι ένας κωδικός πρόσβασης 12 χαρακτήρων.

Χρησιμοποιείτε ήδη διαχειριστή κωδικού πρόσβασης?

Ποιο ειναι το πρόβλημα? Λοιπόν, κάθε γεννήτρια τυχαίων αριθμών χρειάζεται μία ή περισσότερες πηγές εντροπίας - το στοιχείο της αβεβαιότητας που εξασφαλίζει ότι το αποτέλεσμα παραμένει τυχαίο. Αλλά ο σπόρος με τον οποίο ξεκίνησε ο Kaspersky ήταν ο τρέχων χρόνος του συστήματος, σε δευτερόλεπτα. Ναι, χρόνος, μία από τις πιο προβλέψιμες και μη τυχαίες μετρήσεις εκεί έξω.

Εδώ είναι ο τρόπος με τον οποίο ο Ledger Donjon, επικεφαλής της έρευνας ασφαλείας στο Jean-Baptiste Bédrune, το εξήγησε σε μια ανάρτηση ιστολογίου:

&ldquo;Έτσι, ο σπόρος που χρησιμοποιείται για τη δημιουργία κάθε κωδικού πρόσβασης είναι ο τρέχων χρόνος του συστήματος, σε δευτερόλεπτα. Σημαίνει ότι κάθε περίπτωση του διαχειριστή κωδικού πρόσβασης Kaspersky στον κόσμο θα δημιουργήσει τον ίδιο ακριβώς κωδικό πρόσβασης σε ένα δεδομένο δευτερόλεπτο. Αυτό θα ήταν προφανές να εντοπίσουμε αν κάθε κλικ στο &lsquo;Δημιουργήστε το κουμπί, στη διεπαφή γεννήτριας κωδικού πρόσβασης, παρήγαγε τον ίδιο κωδικό πρόσβασης.&rdquo;

Ο λόγος για τον οποίο οι άνθρωποι δεν παρατήρησαν ότι κάθε κωδικός πρόσβασης που δημιουργήθηκε στο ίδιο δευτερόλεπτο ήταν ακριβώς το ίδιο είναι επειδή η διεπαφή έχει ένα animation ενός δευτερολέπτου που παίζει, εξασφαλίζοντας ότι κανείς δεν μπορεί να δημιουργήσει δύο κωδικούς πρόσβασης στο ίδιο δευτερόλεπτο.

Αλλά είναι ένα μεγάλο ελάττωμα. Οποιοσδήποτε χάκερ που γνωρίζει ότι το τέχνασμα μπορεί να βία από οποιονδήποτε κωδικό πρόσβασης: ο αριθμός των δευτερολέπτων της ημέρας είναι πεπερασμένος και ένας χάκερ μπορεί να τρέξει σε όλους τους 315.619.200 κωδικούς πρόσβασης που συνδέονται με τα δευτερόλεπτα της δεκαετίας μεταξύ 2010 και 2021 σε λίγα λεπτά.

Και, εάν ένας λογαριασμός σε απευθείας σύνδεση εμφανίζει δημοσίως την ημερομηνία που δημιουργήθηκε, ένας χάκερ θα πρέπει να τρέξει ακόμη λιγότερους πιθανούς κωδικούς πρόσβασης πριν σπάσει έναν κωδικό πρόσβασης Kaspersky.

Οι ασφαλείς κωδικοί πρόσβασης είναι απαραίτητοι

Ο Kaspersky ειδοποιήθηκε για το θέμα και έχει ξεδιπλώσει μια λύση. Αλλά κάθε κωδικός πρόσβασης που έχει ήδη δημιουργηθεί από μια ευάλωτη έκδοση του λογισμικού εξακολουθεί να είναι εύκολα διάσημο - λίγο εφιάλτη για όλους όσους χρησιμοποιούν την υπηρεσία ειδικά για να εξασφαλίσουν ότι οι κωδικοί πρόσβασης δεν μπορούν να σπάσουν.

Εάν χρησιμοποιείτε τον διαχειριστή κωδικού πρόσβασης του Kaspersky, αλλάξτε τους κωδικούς πρόσβασής σας τώρα. Και αν βρίσκεστε στην αγορά για έναν διαχειριστή κωδικού πρόσβασης που θα διατηρήσει την online δραστηριότητά σας ιδιωτική δραστηριότητα, έχουμε αναθεωρήσει όλες τις κορυφαίες επιλογές σε βάθος εδώ - κανένας από τους οποίους δεν έχει αντιμετωπίσει προβλήματα με τη δέσμευση των τυχαίων γεννητριών αριθμών τους σε έναν εύκολα ραγισμένο αλγόριθμο.