האם לקספרסקי יש מחולל סיסמאות?

הסיסמה שנבנית מומרת לאתק קטן. לא מכתים מוסרים. ואז, יש איטרציה על סיסמה במקום סיסמת אותיות קטנות פשוט נוצרה. זה מוביל לחישוב שגוי של משתנה האינדקס (מיקום המכתב באלף -בית). אינדקס זה משמש לאחזר אלמנט של מערך. זה מוביל לקריאה מחוץ לגבול על מערך זה.

מנהל סיסמאות Kaspersky: כל הסיסמאות שלך שייכות לנו

למחולל הסיסמאות הכלול במנהל הסיסמאות של קספרסקי היו כמה בעיות. הקריטי ביותר הוא שהוא השתמש ב- PRNG שלא מתאים למטרות קריפטוגרפיות. מקור האנטרופיה היחיד שלה היה הזמן הנוכחי. ניתן היה להכניס את כל הסיסמאות שיצרה. מאמר זה מסביר כיצד ליצור סיסמאות מאובטחות, מדוע מנהל הסיסמאות של קספרסקי נכשל וכיצד לנצל את הפגם הזה. זה גם מספק הוכחת מושג לבדיקה אם הגרסה שלך פגיעה.

המוצר עודכן והגרסאות החדשות ביותר שלו אינן’לא מושפע מהגיליון הזה.

מבוא

לפני שנתיים בדקנו את מנהל הסיסמאות של קספרסקי (KPM), מנהל סיסמאות שפותח על ידי קספרסקי. מנהל סיסמאות Kaspersky הוא מוצר המאחסן היטב סיסמאות ומסמכים לכספת מוצפנת, המוגנת על ידי סיסמה. קמרון זה מוגן באמצעות סיסמת אב, כך, כמו במנהלי סיסמאות אחרים, המשתמשים צריכים לזכור סיסמה יחידה לשימוש ולנהל את כל הסיסמאות שלהם. המוצר זמין עבור מערכות הפעלה שונות (Windows, MacOS, Android, iOS, Web …) ניתן לסנכרן נתונים מוצפנים באופן אוטומטי בין כל המכשירים שלך, תמיד מוגנים על ידי סיסמת האב שלך.

הפונקציונליות העיקרית של KPM היא ניהול סיסמאות. נקודת מפתח אחת עם מנהלי סיסמאות היא שבניגוד לבני אדם, כלים אלה טובים ליצירת סיסמאות אקראיות וחזקות. כדי ליצור סיסמאות מאובטחות, על מנהל הסיסמאות של קספרסקי להסתמך על מנגנון ייצור סיסמאות מאובטח. ראשית נראה דוגמה לשיטה טובה לייצור סיסמאות, כדי להסביר מדוע השיטה ששימשה את קספרסקי הייתה פגומה, ואיך ניצלנו אותה. כפי שנראה, ניתן לערוך סיסמאות שנוצרו על ידי כלי זה.

אחרי קצת פחות משנתיים, הפגיעות הזו טופחה על כל הגרסאות של KPM. פגיעות הוקצה CVE-2020-27020.

יצירת סיסמאות חזקות ממרחב

לשם הפשטות, תן’S חקר כיצד נוצרות סיסמאות ב- Keepass, פרויקט קוד פתוח. ייצור סיסמאות מיושם בכיתות שונות ב- KeepAsslib.קריפטוגרפיה.מרחב השמות של DissantalGenerator. Keepass מספק 3 שיטות ליצירת סיסמה: מבוסס Charset, מבוסס דפוס ושיטת דור בהתאמה אישית.

השיטה הפשוטה יותר היא גנרטור הבסיס של Charset, שיוצר סיסמה מ- Charset נתון. בואו לראות איך זה עובד. להלן הלולאה הראשית האחראית לייצור הסיסמאות:

PwCharset PCS = PWCharset חדש (PWProfile.Charset.ToString ());
אם(!Pwgenerator.IntrepeCharset (PCS, pwprofile))
להחזיר את Pwgerror.InvalidCharset;
char [] v = חדש char [pwprofile.אורך];
לְנַסוֹת
{
עבור (int i = 0; i < v.Length; ++i)
{
char ch = PwGenerator.GenerateCharacter(pcs, crsRandomSource);
if(ch == char.MinValue)
return PwgError.TooFewCharacters;
v[i] = ch;
if(pwProfile.NoRepeatingCharacters)
pcs.Remove(ch);
}
}

שיטת generatecharacter נקראת לייצר כל תו בודד מהסיסמה. זה לוקח חרדה ומקור אקראי, ומוצא תו אקראי מה- Charset. יישומו די פשוט:

Genaratecharacter char פנימי סטטי (pwcharset pwcharset, cryptorandomstream crsrandomsource)
{
uint cc = pwcharset.גודל;
אם (cc == 0)
להחזיר את Char.Minvalue;
uint i = (uint) crsrandomsource.GetRandomUint64 (CC);
החזר pwcharset [i];
}

1. כיצד נכשל מחולל הסיסמאות של מנהל הסיסמה של קספרסקי?

מחולל הסיסמאות במנהל הסיסמאות של קספרסקי נכשל מכיוון שהוא השתמש ב- PRNG (מחולל מספר פסאודו-אקראי) שלא היה מתאים למטרות קריפטוגרפיות. זה הסתמך אך ורק על השעה הנוכחית כמקור האנטרופיה שלה, מה שמקל על הכוח האמיץ של הסיסמאות שנוצרו.

2. מדוע חשוב ליצור סיסמאות מאובטחות?

יצירת סיסמאות מאובטחות חשובה מכיוון שניתן לנחש סיסמאות חלשות וניתן להתפשר על ידי התוקפים על ידי התוקפים. סיסמאות חזקות ואקראיות מספקות אבטחה טובה יותר לחשבונות מקוונים ומסייעים בהגנה על מידע רגיש מפני גישה לא מורשית.

3. כיצד ניצלה שיטת יצירת הסיסמאות הפגומה במנהל הסיסמאות של קספרסקי?

שיטת יצירת הסיסמאות הפגומה במנהל הסיסמאות של קספרסקי אפשרה להכחין קלות של הסיסמאות שנוצרו בגלל היעדר אנטרופיה מתאימה. על ידי שימוש ב- PRNG המבוסס אך ורק על השעה הנוכחית, אפשר היה לחזות במדויק ולנחש את הסיסמאות, מה שהופך אותם לפגיעים לתקיפה.

4. מהו מספר ה- CVE שהוקצה לפגיעות במנהל הסיסמאות של קספרסקי?

הפגיעות במנהל הסיסמאות של קספרסקי הוקצה למספר CVE-2020-27020.

5. כיצד נוצרים סיסמאות ב- Keepass?

סיסמאות נוצרות ב- Keepass בשיטות שונות, כולל גנרטור מבוסס CHARSET. שיטה זו יוצרת סיסמאות המבוססות על חרדה נתונה, ומבטיחה שהסיסמאות שנוצרו מכילות תערובת של תווים מהסט שצוין.

6. מה המטרה של מחלקת PWCharset ב- Keepass?

מחלקת ה- PWCharset ב- Keepass משמשת להגדרת וניהול קבוצות של תווים שניתן להשתמש בהן בייצור סיסמאות. זה מאפשר התאמה אישית ובקרה על התווים הכלולים בסיסמאות שנוצרו.

7. כיצד פועלת שיטת generatecharacter ב- Keepass?

שיטת generatecharacter ב- KeepAss לוקחת חרדה ומקור אקראי כפרמטרי קלט ומחזירה תו אקראי מה- Charset שצוין. זה מבטיח כי התו שנוצר נבחר באופן אקראי מתוך מערך התווים המסופק.

8. מה קורה אם מערך התווים ריק ב- Keepass?

אם מערך התווים ריק ב- Keepass, שיטת GenerateCharacter תחזיר את הערך.Minvalue. זה מצביע על כך שאין תווים זמינים ב- CHARSET שצוין, וזה עלול לגרום לשגיאה בתהליך יצירת הסיסמה.

9. כיצד התמודד מחולל הסיסמאות במנהל הסיסמאות של קספרסקי?

מחולל הסיסמאות במנהל הסיסמאות של קספרסקי המיר את הסיסמה שנבנתה לאותיות קטנות והסירו תווים שאינם אותיות. תהליך זה היה חלק מהמתודולוגיה הפגומה ששימשה את הגנרטור, מה שבסופו של דבר הוביל לפגיעות שאפשרה לחיזוק קלות של הסיסמאות.

10. האם הפגיעות במנהל הסיסמאות של קספרסקי טופלה?

כן, הפגיעות במנהל הסיסמאות של קספרסקי תוקנה בכל הגרסאות. הגרסאות האחרונות של המוצר אינן מושפעות מהגיליון הזה.

האם לקספרסקי יש מחולל סיסמאות?

הסיסמה שנבנית מומרת לאתק קטן. לא מכתים מוסרים. ואז, יש איטרציה על סיסמה במקום סיסמת אותיות קטנות פשוט נוצרה. זה מוביל לחישוב שגוי של משתנה האינדקס (מיקום המכתב באלף -בית). אינדקס זה משמש לאחזר אלמנט של מערך. זה מוביל לקריאה מחוץ לגבול על מערך זה.

מנהל סיסמאות Kaspersky: כל הסיסמאות שלך שייכות לנו

למחולל הסיסמאות הכלול במנהל הסיסמאות של קספרסקי היו כמה בעיות. הקריטי ביותר הוא שהוא השתמש ב- PRNG שלא מתאים למטרות קריפטוגרפיות. מקור האנטרופיה היחיד שלה היה הזמן הנוכחי. ניתן היה להכניס את כל הסיסמאות שיצרה. מאמר זה מסביר כיצד ליצור סיסמאות מאובטחות, מדוע מנהל הסיסמאות של קספרסקי נכשל וכיצד לנצל את הפגם הזה. זה גם מספק הוכחת מושג לבדיקה אם הגרסה שלך פגיעה.

המוצר עודכן והגרסאות החדשות ביותר שלו אינן’לא מושפע מהגיליון הזה.

מבוא

לפני שנתיים בדקנו את מנהל הסיסמאות של קספרסקי (KPM), מנהל סיסמאות שפותח על ידי קספרסקי. מנהל סיסמאות Kaspersky הוא מוצר המאחסן היטב סיסמאות ומסמכים לכספת מוצפנת, המוגנת על ידי סיסמה. קמרון זה מוגן באמצעות סיסמת אב, כך, כמו במנהלי סיסמאות אחרים, המשתמשים צריכים לזכור סיסמה יחידה לשימוש ולנהל את כל הסיסמאות שלהם. המוצר זמין עבור מערכות הפעלה שונות (Windows, MacOS, Android, iOS, Web ...) ניתן לסנכרן נתונים מוצפנים באופן אוטומטי בין כל המכשירים שלך, תמיד מוגנים על ידי סיסמת האב שלך.

הפונקציונליות העיקרית של KPM היא ניהול סיסמאות. נקודת מפתח אחת עם מנהלי סיסמאות היא שבניגוד לבני אדם, כלים אלה טובים ליצירת סיסמאות אקראיות וחזקות. כדי ליצור סיסמאות מאובטחות, על מנהל הסיסמאות של קספרסקי להסתמך על מנגנון ייצור סיסמאות מאובטח. ראשית נראה דוגמה לשיטה טובה לייצור סיסמאות, כדי להסביר מדוע השיטה ששימשה את קספרסקי הייתה פגומה, ואיך ניצלנו אותה. כפי שנראה, ניתן לערוך סיסמאות שנוצרו על ידי כלי זה.

אחרי קצת פחות משנתיים, הפגיעות הזו טופחה על כל הגרסאות של KPM. פגיעות הוקצה CVE-2020-27020.

יצירת סיסמאות חזקות ממרחב

לשם הפשטות, תן’S חקר כיצד נוצרות סיסמאות ב- Keepass, פרויקט קוד פתוח. ייצור סיסמאות מיושם בכיתות שונות ב- KeepAsslib.קריפטוגרפיה.מרחב השמות של DissantalGenerator. Keepass מספק 3 שיטות ליצירת סיסמה: מבוסס Charset, מבוסס דפוס ושיטת דור בהתאמה אישית.

השיטה הפשוטה יותר היא גנרטור הבסיס של Charset, שיוצר סיסמה מ- Charset נתון. בואו לראות איך זה עובד. להלן הלולאה הראשית האחראית לייצור הסיסמאות:

Pwcharset מחשבים אישיים = חָדָשׁ Pwcharset((pwprofile.Charset.טוסטרינג()); אם((!Pwgenerator.הכנה((מחשבים אישיים, pwprofile)) לַחֲזוֹר Pwgerror.InvalidCharset; לְהַשְׁחִיר[] v = חָדָשׁ לְהַשְׁחִיר[pwprofile.אורך]; לְנַסוֹת  ל((Int אני = 0; אני  v.אורך; ++אני)  לְהַשְׁחִיר ח ' = Pwgenerator.Generatecharacter((מחשבים אישיים, crsrandomsource); אם((ח ' == לְהַשְׁחִיר.Minvalue) לַחֲזוֹר Pwgerror.Tofewcharacters; v[אני] = ח '; אם((pwprofile.מטעני נורא) מחשבים אישיים.לְהַסִיר((ח '); > . > 

שיטת generatecharacter נקראת לייצר כל תו בודד מהסיסמה. זה לוקח חרדה ומקור אקראי, ומוצא תו אקראי מה- Charset. יישומו די פשוט:

פְּנִימִי סטָטִי לְהַשְׁחִיר Generatecharacter((Pwcharset pwcharset, CryptorandomStream crsrandomsource)  uint CC = pwcharset.גודל; אם((CC == 0) לַחֲזוֹר לְהַשְׁחִיר.Minvalue; uint אני = ((uint)crsrandomsource.GetRandomUint64((CC); לַחֲזוֹר pwcharset[אני]; > 

לבסוף, getRandomUint64 הוא מחולל מספר אקראי אחיד שמוצא ערכים בין 0 ל- CC - 1:

פְּנִימִי אולונג GetRandomUint64((אולונג umaxexcl)  אם((umaxexcl == 0)  לנפות.לִטעוֹן((שֶׁקֶר); לזרוק חָדָשׁ טיעון באמצעות פרנג'קספיס(("umaxexcl"); > אולונג Ugen, אורם; לַעֲשׂוֹת  Ugen = GetRandomUint64(); אורם = Ugen יַקרָן umaxexcl; > בזמן(((Ugen - אורם) > ((אולונג.ערך מקסימלי - ((umaxexcl - 1UL))); // זה מבטיח שהמספר האחרון של החסימה (i.ה. // (ugen - urem) + (umaxexcl - 1)) ניתן לייצור; // עבור ארוכים חתומים, הצפה למספר שלילי: // while ((ugen - urem) + (umaxexcl - 1) < 0);לַחֲזוֹר אורם; > 

מה שחשוב כאן הוא שכל דמות נוצרת באופן עצמאי מהשאר האחרים: כל דמות היא אקראית, ולדעת איזו דמות נוצרה לפני כן אינה נותנת לנו מידע על החרש הבא שייוצר.

לבסוף, בואו’S נניח ש- GetRandomUint64 הוא חזק קריפטוגרפיה ומייצר מספר 64 סיביות אקראי. מדוע יש כאן לולאה, ומדוע פונקציה זו אינה מיושמת פשוט כ- getRandomuint64 () % umaxexcl; ?

דור מספר אקראי אחיד

לולאה זו חיונית ל אחיד ליצור מספרים בטווח.

תאר לעצמך שאתה רוצה לקבל חרדה אקראית מחבר של 10 תווים אפשריים, ויש לך שיטת מחולל מספר אקראית getRandom32 שמוצאת את מספר 0 ל- 32 (32 לא נכלל). הדרך הפשוטה להוצאת חרדה כזו תהיה:

const חוּט Charset = "0123456789"; לַחֲזוֹר Charset[GetRandom32() יַקרָן 10]; 

לתת’לראות כיצד נוצרים תווים:

• “4” מוחזר אם getRandom32 () מחזיר 4, 14 או 24 (3 ערכים אפשריים)
• “5” מוחזר אם getRandom32 () מחזיר 5, 15 או 25 (3 ערכים אפשריים)
• אבל “1” מוחזר אם getRandom32 () מחזיר 1, 11, 21 ו- 31 (4 ערכים אפשריים!)

ההפצה ניתנת להלן:

אז יש הטיה בשיטה זו: כפי שאפשר לראות מהפלטים, ספרות 0 ו- 1 יופקו בתדירות גבוהה יותר מהשאר האחרים. זה נקרא בדרך כלל “הטיה של מודולו”. כדאי לבדוק את המדריך הסופי המצוין ל “הטיה מודולרית” וכיצד להימנע מכך, על ידי אבטחת קודלסקי, למידע נוסף.

כדי להסיר זאת “הטיה של מודולו”, שיטה נפוצה היא להשליך את כל המספרים הגדולים או שווה ל 30 (הכפיל הגדול ביותר של 10 נמוך מ- 32):

const חוּט Charset = "0123456789"; לַעֲשׂוֹת  Ugen = GetRandom32(); > בזמן ((Ugen > = 30); לַחֲזוֹר Charset[Ugen יַקרָן 10]; 

זה בדיוק מה ש- Keepass עושה, אם כי ההטיה ב- Keepass תהיה הרבה פחות משמעותית מאשר בדוגמה הנוכחית, מכיוון שה- getRandomuint64 מייצר ערכים הרבה יותר גדולים מגודל מערך התווים הסיסמאיים.

ראינו כיצד לבחור באופן אחיד דמות ממגוון נתון של תווים, בהנחה שהמקור האקראי שלנו הוא אחיד. לתת’S ראה עכשיו איזה סוג מקור מתאים לייצר מספרים אקראיים חזקים קריפטוגרפית.

PRNG מאובטח קריפטוגרפי

מספרים שנוצרו חייבים להיות אַקרַאִי. אבל מה זה אומר בדיוק? PRNG טוב רגיל יעבור סדרת בדיקות, בעיקר בדיקות אקראיות סטטיסטיות כמו בדיקות Diehard או Dieharder.

PRNG מאובטח קריפטוגרפי (CSPRNG) יעבור גם את הבדיקות הללו, אך יש לו גם שתי דרישות נוספות:

• זה חייב לספק את מבחן הסיביות הבא. בידיעה של כל הקטעים שכבר נוצרו על ידי CSPRNG, אין שיטה בזמן פולינום שתנבא את הסיביות הבאה עם הסתברות גבוהה יותר ש- 0.5.
• אם בכל רגע, כל מצבו של ה- CSPRNG נפגע, אין דרך לאחזר את החלקים שהוחזרו בעבר על ידי ה- CSPRNG.

נקודות אלה חיוניות לייצור סיסמאות. לדוגמה, אם סיסמה נפגעה מסיבה כלשהי, ואם נעשה שימוש ב- CSPRNG לייצור סיסמה זו, תוקף יכול היה להיות מסוגל לאחזר את הסיסמה האחרת שנוצרה באמצעות PRNG זה. מרבית מערכות ההפעלה מספקות יישומי CSPRNG: CryptGenRandom ב- Windows, או /Dev /Randal במערכות הפעלה דמויי יוניקס.

תוכנות מסוימות מעדיפות להשתמש ביישום שלהן, לרוב זרוע, באופן מלא או חלקי, על ידי מערכת ההפעלה PRNG. Keepass משתמשת בשני PRNG, המבוססים על SALSA20 ו- CHACHA20, ומורשת המבוססת על גרסה של ARCFOUR. לתת’S נניח ששני ה- PRNG הראשונים מאובטחים קריפטוגרפיה: יש לנו כעת את כל האלמנטים ליצירת סיסמאות אקראיות ומאובטחות ממספר נתון.

קספרסקי’שיטת יצירת סיסמא

למנהל הסיסמאות של קספרסקי יש מחולל סיסמאות מובנה, שיוצר סיסמה מנתון “מְדִינִיוּת”. הגדרות המדיניות הן פשוטות: אורך סיסמא, אותיות גדולות, אותיות קטנות, ספרות וקבוצה מותאמת אישית של תווים מיוחדים. ניתן להגדיר את כל ההגדרות הללו בממשק מחולל הסיסמאות, כפי שמוצג כאן (זו ההגדרה הסטנדרטית):

כברירת מחדל, KPM מייצרת סיסמאות של 12 תווים עם חרדה מורחבת.

להערים את תדירות המראה

נוהל הדור מורכב בהרבה משיטת KeepAss. KPM בוחר תחילה שני צופים אקראיים $ r_1 $ ו- $ r_2 $ בין 0 ל -1, ומכפיל אותם עם אורך הערכת הסיסמה כדי לבחור ערך בטבלת Charset:

Charset = . # תווים שנקבעו לשימוש R1 = אַקרַאִי.אַקרַאִי() R2 = אַקרַאִי.אַקרַאִי() קופה = R1 * R2 * לן((Charset) לַחֲזוֹר Charset[קופה] 

הפצה של $ R_1 \ Times R_2 $ היא (בזכות MathWorld):

\ [\ התחל p [r_1 r_2 = a] & = & \ int_0^1 \ int_0^1 \ delta (xy - a) dy dx \\ & = & \ int_0^1 \ int_^\ delta (z) \ frac dx \\ \ & \ & \ \ \ \ \ \ \ eta (Z) \ frac dx \\ \ & \ & \ \ \ \ \ \ \ \ ata \ \ ata \ \ \ \ \ \ \ \ \ ata \ frac dx \\ \ & \ \ \ \ \ 1 (x) 1 \ frac dx \\ & = & -ln (a) \ end \]

התפלגות פונקציה זו אינה אחידה: למיקומים נמוכים יותר יש סיכויים רבים יותר מאשר ערכים בקרבת 1. שיטה כזו די תמוהה, אבל נראה שזה בדיוק מה ש- KPM רצה ליישם.

איך נוצר ה- Charset? האם זה מסודר לחלוטין, כמו “abcdefghij ..”? לא…

• לשלושת הצוותים הראשונים, Charset מסודר במלואו (כמעט ... נראה זאת בהמשך).
• ואז, עבור התווים הבאים, KPM מסתמך על תדר האותיות: הוא מניח שמכתבים פחות תכופים (באיזשהו שפה) צריכים להופיע לעתים קרובות יותר בסיסמה שנוצרה. התדירות כביכול של ההופעה של כל אות, המשמשת ב- KPM, מוצגת בתרשים למטה:

לאחר מכן, charset מסודר על פי התדירות ההפוכה של המראה של כל אות: Q, x, z, w ... n, a, e.

מכיוון שסביר יותר להופיע ערכים נמוכים בהתחשב בפונקציית ההפצה, אנו יכולים להניח כמה תווים כמו “ש” וכן “איקס” נוטים הרבה יותר להופיע בסיסמאות שנוצרו על ידי KPM.

אם נתונים סטטיסטיים אלה נלקחו באופן עצמאי כדי ליצור כל חומר סיסמא, היינו יכולים לראות לעתים קרובות כמה “ש”, “איקס” אוֹ “z” בסיסמאות. עם זאת, הדברים מורכבים יותר: תווים שנוצרו נלקחים בחשבון בחישוב התדרים של המראה. אם “z” נוצר, ואז ההסתברות למראה של “z” בטבלת התדרים תגדל מאוד. לאחר הוזמת החרדה על פי טבלה זו, “z” יהיה בסוף הטבלה, ויהיו יהיו להם שינויים הרבה פחות.

שינויים אלה משפיעים גם על אותיות אחרות: אחרי “z” נבחר, ההסתברות “א”, “ה”, “M”, “ש”, “ג” וכן “איקס” גם גדל. לעומת זאת, “ח” ירד. אבל אחרי “ח” נבחר, ההסתברות שלו למראה תגדיל הרבה.

ההשערה שלנו היא שהשיטה יושמה כדי להערים על כלי פיצוח סיסמא סטנדרטיים. קרקרים סיסמתיים כמו Hashcat או John The Ripper מנסים לשבור תחילה מִסתַבֵּר סיסמא, ה.ז. סיסמאות שנוצרו על ידי בני אדם. שיטת פיצוח הסיסמה שלהם מסתמכת על העובדה שיש כנראה “ה” וכן “א” בסיסמה שנוצרה על ידי אדם מאשר “איקס” אוֹ “י”, או שהגדולים “ה” וכן “הוא” יופיע לעתים קרובות יותר מאשר “qx” אוֹ “Zr”.

טכניקות ייעודיות כמו Markov Generator, המניחות שיש מודל מרקוב נסתר באופן בו נוצרות סיסמאות על ידי בני אדם, יכולות לשבור ישירות את שיטת הדור הזו (ראה התקפות מילון מהירות על סיסמאות באמצעות סחר בחלל זמן לקבלת פרטים נוספים).

לפיכך, סיסמאות שנוצרו על ידי KPM יהיו, בממוצע, רחוק ברשימת סיסמאות המועמדים שנבדקו על ידי כלים אלה. אם תוקף מנסה לפצח רשימת סיסמאות שנוצרה על ידי KPM, הוא כנראה יחכה די הרבה זמן עד שהראשון יימצא. זה די חכם.

עם זאת, אם תוקף יודע כי סיסמה נוצרה על ידי KPM, הוא יכול להתאים את הכלי שלו כדי לקחת בחשבון את הדגם ואחריו KPM. מכיוון שהסיסמאות הללו הן, במובן מסוים, מוטה (להתמודדות עם פיצוח סיסמאות), ניתן להשתמש בהטיה זו כדי ליצור את הסיסמאות הסבירות ביותר שנוצרו על ידי כלי זה ולבדוק אותן תחילה. דרך פשוטה לעשות זאת יכולה להיות להשתמש בגנרטור של מרקוב, שכן זו שסיפק ג'ון המרטש (שיטה זו לא נבדקה).

אנו יכולים להסיק כי אלגוריתם הדור כשלעצמו לא כל כך גרוע: הוא יתנגד נגד כלים סטנדרטיים. עם זאת, אם תוקף יודע שאדם משתמש ב- KPM, הוא יוכל לשבור את הסיסמה שלו הרבה יותר בקלות מאשר סיסמא אקראית לחלוטין. עם זאת, ההמלצה שלנו היא לייצר סיסמאות אקראיות מספיק זמן כדי להיות חזקות מכדי להישבר על ידי כלי.

ראינו בעבר ש- KPM בחר שני ערכים אקראיים $ r_1 $ ו- $ r_2 $ כדי לחשב אינדקס בטבלת Charset. לתת’ראה עכשיו כיצד מחושבים ערכים אלה.

KPM’S מחולל מספר אקראי

שני הערכים הללו מגיעים ישירות מה- KPM PRNG. PRNG זה מוצא צף באופן אחיד בין 0 ל -1, 1 לא נכלל.

ה- PRNG המשמש שונה בשולחן העבודה ובגרסת האינטרנט:

• גרסת האינטרנט השתמשה במתמטיקה.אַקרַאִי() . פונקציה זו אינה מתאימה ליצירת מספרים אקראיים מאובטחים קריפטוגרפית (הכוללת אנטרופיה הנדרשת לייצור סיסמאות), כמוסבר ב- https: // מפתח.מוזילה.org/en-us/docs/web/javascript/הפניה/Global_objects/מתמטיקה/אקראי. ה- PRNG הבסיסי המשמש את כרום, פיירפוקס וספארי למתמטיקה.אקראי () הוא xorshift128+. זה מהיר מאוד, אך לא מתאים לייצור חומר קריפטוגרפי. ההשלכות האבטחה ב- KPM לא נחקרו, אך יעצו לנו לקספרסקי להחליף אותה בחלון.קריפטו.getRandomValues ​​(), כמומלץ על ידי דף התיעוד של מוזילה שהוזכר קודם.
• גרסת שולחן העבודה השתמשה ב- PRNG המסופק על ידי Boost: MT19937 Mersenne Twister. מרסן טוויסטר הוא PRNG טוב מאוד ונמצא בשימוש נרחב, ו- MT 19937 הוא המרסן טוויסטר הפופולרי ביותר. זה מופץ באופן אחיד, יש לו תקופה ארוכה מאוד, והוא מהיר בהשוואה לשני “טוֹב” Prngs.

עם זאת, הוא משתמש ב- Mersenne Twister רעיון טוב ליצור סיסמאות? בהחלט לא.

הבעיה עם הגנרטור הזה היא שזה לא CSPRNG. הכרת כמה מה- Ouputs שלה (624 במקרה זה) מאפשרת לאחזר את מצבה המלא, ולחזות את כל הערכים שהיא תייצר, בתוספת כל הערכים שהיא כבר יצרה (ראו אלגוריתמים של ברלקאמפ-מססי או קנה-סלאן)).

כלים מחוץ למדף כמו Randcrack זמינים לשבור את פייתון’S מודול אקראי, המשתמש ביישום דומה מאוד (אם לא אותו דבר) של MT 19937. רק התאמות קלות מאוד צריכות להיות נחוצות כדי לשבור את יישום Boost.

בפועל, ניצול פגם כזה בהקשר של קספרסקי’מנהל הסיסמאות קשה:

• הסיסמאות קצרות: 12 תווים כברירת מחדל. אחזור 624 תווים סיסמא דורשים לתפוס 52 סיסמאות.
• ערך הפלט הגולמי אינו ידוע: ערך הפלט הוא המיקום בכתובת כל האות של הסיסמה. ערכים נוספים יכולים להיות נחוצים.
• וראינו כי עמדה זו בתואר הוא תוצר של שני ערכים המיוצרים על ידי ה- PRNG.

אנו לא רואים דרך פשוטה לתקוף את ה- PRNG הזה בהקשר של KPM.

זריעת מרסן טוויסטר

ראינו שה- PRNG מייצר באופן אחיד צפים ב [0, 1 [. הקוד האחראי לאתחולו צריך להיראות כמו:

MT19937::תוצאה_ סוג זֶרַע = . ; אוטומטי Mtrand = STD::לִקְשׁוֹר((STD::Strudy_real_diptibutionלָצוּף>((0,1), MT19937((זֶרַע)); 

מאיפה הזרע מגיע? פונקציית ייצור הסיסמאות נקראת כך:

STD::חוּט pwlib::generatePassword((pwdlib::מְדִינִיוּת מְדִינִיוּת, Int זֶרַע)  אם ((זֶרַע == 0)  Time Time ft; GetSystemiesFiletime((& &ft); זֶרַע = ft.DwlowdateTime + ft.dwhighdateTime; > אוטומטי Mtrand = STD::לִקְשׁוֹר((STD::Strudy_real_diptibutionלָצוּף>((0,1), MT19937((זֶרַע)); לַחֲזוֹר generaterandompassword((מְדִינִיוּת, Mtrand); > 

זה סופר מעניין משתי סיבות:

• הזרע הוא רק 32 ביטים. זה אומר שזה יכול להיות מוגדר בקלות.
• מופע של ה- PRNG נוצר בכל פעם שנוצרת סיסמה. זה אומר שמנהל סיסמאות Kaspersky יכול ליצור לכל היותר סיסמאות של $ 2^$ עבור Charset נתון.

GetSystemiesFiletime משמש כזרע רק אם זרע אינו מסופק לשיטת generatepassword. איך נקרא שיטה זו כאשר משתמש מבקש סיסמה חדשה? התשובה היא:

STD::חוּט pwlib::generatePassword((pwdlib::מְדִינִיוּת מְדִינִיוּת)  לַחֲזוֹר generatePassword((מְדִינִיוּת, זְמַן((0)); > 

אז הזרע המשמש לייצור כל סיסמה הוא זמן המערכת הנוכחי, תוך שניות. זה אומר שכל מופע של מנהל סיסמאות Kaspersky בעולם יפיק את אותה הסיסמה בדיוק בשנייה נתונה. זה יהיה ברור לאתר אם כל לחיצה על “לִיצוֹר” כפתור, בממשק מחולל הסיסמה, הפיק את אותה סיסמה. עם זאת, מסיבה כלשהי, יצירת סיסמאות מונפשת: עשרות תווים אקראיים מוצגים בזמן שהסיסמה האמיתית כבר מחושבת:

אנימציה זו אורכת יותר משנייה אחת, כך שלא ניתן ללחוץ על מספר פעמים על “לִיצוֹר” כפתור תוך שנייה. זו בהחלט הסיבה שהחולשה לא התגלתה לפני כן.

ההשלכות גרועות כמובן: כל סיסמה יכולה להיות מוגזמת. לדוגמה, יש 315619200 שניות בין 2010 ל 2021, כך ש- KPM תוכל ליצור לכל היותר 315619200 סיסמאות עבור Charset נתון. האכזריות שלהם אורכת כמה דקות.

זה די נפוץ שאתרי אינטרנט או פורומים מציגים את זמן היצירה של החשבונות. בידיעת תאריך היצירה של חשבון, תוקף יכול לנסות לזרז את סיסמת החשבון עם מגוון קטן של סיסמאות (~ 100) ולקבל גישה אליו.

יתר על כן, סיסמאות ממאגרי מידע שהודלפו המכילים סיסמאות מחושות, סיסמאות לארכיונים מוצפנים, נפח TrueCrypt/Veracrypt וכו '. ניתן לאחזר בקלות גם אם הם נוצרו באמצעות מנהל סיסמאות קספרסקי.

מקור אנטרופיה בלתי צפוי: קרא מחוץ לתחום

כתבנו הוכחת קונספט כדי לוודא שאנחנו לא מפספסים משהו. זה מייצר רשימה של 1000 סיסמאות אפשריות מהזמן הנוכחי. לבדיקת ה- POC:

ערוך את ה- POC המסופק (pwlib.CPP). יש לערוך את הקובץ עם Visual C ++ (ערכים צפים בקוד המקור אין אותם ערכים בדיוק כאשר הם מורכבים עם Clang או GCC). השתמשתי ב- Visual C ++ 2017 לבדיקות שלי. שימוש בפקודה הזמנה ל- Visual C ++ 32 ביטים, הזן:

 cmake -bbuild -h. msbuild build \ pwbrute.vcxproj 

 ניפוי באגים \ pwbrute.exe> מעבר.טקסט 

• אותיות קטנות בלבד
• 12 תווים

זה לא פונקציונלי לחלוטין, אך איפשר לנו לגלות באג בתהליך יצירת הסיסמה, בפונקציה המחשבת את ההסתברות למראה של מכתב נתון בידיעה של התווים שנוצרו בעבר. להלן קוד הפסאודו לשיטת getContextProbabimities:

 const לָצוּף *getContextProbabimities((const STD::חוּט & &סיסמה)  STD::חוּט lowercasepassword; // להמיר לאותיות קטנות, שמור רק על אותיות קטנות ל ((לְהַשְׁחִיר ג : סיסמה)  אם ((islower((ג))  lowercasepassword += ג; > אַחֵר אם ((איסופר((ג))  lowercasepassword += לְהַשְׁחִיר((ג - 'א' + 'א'); > > . Int נ = 0; ל ((Int אני = lowercasepassword.אורך() - 1; אני > = 0; אני--)  Int אינדקס = סיסמה[אני] - 'א'; // fixme: החלף ב- LowerCasePassword 

הסיסמה שנבנית מומרת לאתק קטן. לא מכתים מוסרים. ואז, יש איטרציה על סיסמה במקום סיסמת אותיות קטנות פשוט נוצרה. זה מוביל לחישוב שגוי של משתנה האינדקס (מיקום המכתב באלף -בית). אינדקס זה משמש לאחזר אלמנט של מערך. זה מוביל לקריאה מחוץ לגבול על מערך זה.

לאחר מכן מחושבים תדירות המראה מנתונים לא מוועדים או שרירותיים במקרים מסוימים. למרות שהאלגוריתם שגוי, הוא למעשה מקשה על האכזריות את הסיסמאות במקרים מסוימים.

ה- POC המותקף מייצר מועמדים לסיסמאות עם אותיות קטנות רק כך שהאינדקס מחושב תמיד נכון (אחרת ה- POC דורש להתאים).

תיקון

קספרסקי הקצה את CVE-2020-27020 לפגיעות זו, ופרסם ייעוץ אבטחה בדף האינטרנט שלהם: https: // תמיכה.קספרסקי.com/כללי/פגיעות.ASPX?EL = 12430#270421.

כל הגרסאות לפני אלה מושפעות:

• מנהל סיסמאות Kaspersky עבור Windows 9.0.2 תיקון f
• מנהל סיסמאות Kaspersky עבור אנדרואיד 9.2.14.872
• מנהל סיסמאות Kaspersky עבור iOS 9.2.14.31

ב- Windows, ה- Mersenne Twister PRNG הוחלף בפונקציה BcryptgenRandom:

לָצוּף Randomfloat((Bcrypt_alg_handle *הלגוריתם)  uint32_t L; Bcryptgenrandom((*הלגוריתם, ((uint8_t *)& &L, מידה של((L), 0); לַחֲזוֹר ((לָצוּף)L * ((1.0ג / / 0x100000000); > 

ערך ההחזרה של פונקציה זו לא נבדק בגרסאות הבטא שסופקו על ידי קספרסקי, אך אנו מניחים שזה תוקן כעת.

מתמטיקה.אקראי () בגרסת האינטרנט הוחלף בחלון המאובטח.קריפטו.שיטת getRandomValues ​​().

גם גרסאות אנדרואיד ו- iOS טופלו, אבל לא הסתכלנו על התיקונים.

סיכום

מנהל סיסמאות Kaspersky השתמש בשיטה מורכבת כדי ליצור את הסיסמאות שלה. שיטה זו נועדה ליצור סיסמאות שקשה לשבור עבור פיצוח סיסמא סטנדרטי. עם זאת, שיטה כזו מורידה את חוזק הסיסמאות שנוצרו כנגד כלים ייעודיים. הראינו כיצד ליצור סיסמאות מאובטחות הנוגעות לדוגמא: שיטות פשוטות כמו משיכות אקראיות מאובטחות, ברגע שתיפטר מה- “הטיה של מודולו” תוך כדי הצצה מכתב ממגוון נתון של תווים.

למדנו גם את הקספרסקי’s prng, והראה שזה חלש מאוד. המבנה הפנימי שלו, טוויסטר מרסן שנלקח מספריית Boost, אינו מתאים לייצר חומר קריפטוגרפי. אבל הפגם העיקרי הוא ש- PRNG זה נזרע עם השעה הנוכחית, תוך שניות. זה אומר שכל סיסמה שנוצרת על ידי גרסאות פגיעות של KPM יכולה להיות מוגזמת תוך דקות (או תוך שנייה אם אתה יודע בערך זמן הדור).

לבסוף, סיפקנו הוכחת קונספט המפרט את שיטת הדור המלא המשמש את KPM. ניתן להשתמש בו כדי לאמת שהפגם אכן קיים בגרסאות Windows של מנהל הסיסמאות של קספרסקי < 9.0.2 Patch F. Incidentally, writing this PoC allowed us to spot an out of bounds read during the computation of the frequency of appearance of password chars, which makes passwords a bit stronger that they should have been.

ציר זמן

• 15 ביוני 2019: דוח והוכחת קונספט שנשלחו לקספרקי דרך האקרון.
• 17 ביוני 2019: קספרסקי מכיר בכך שהוא קיבל את הדו"ח.
• 25 ביוני 2019: קספרסקי מאשר את הפגיעות.
• 4 באוקטובר 2019: קספרסקי שולח בניית Windows פרטית כדי שנוכל לבדוק שהאגים תוקנו, ומודיע לנו שהם יפעילו פיתרון לטיפול בסיסמאות שנוצרו בעבר לפני סוף השנה.
• 8 באוקטובר 2019: אנו מאשרים שהפגיעויות תוקנו, אך דיווחו על פגם קטן חדש בתיקון.
• 10 באוקטובר 2019: מנהל סיסמאות Kaspersky עבור Windows 9.0.2 תיקון D משוחרר, מתקן את הפגיעויות, אך ללא התיקון לפגם המדווח. גרסת האינטרנט מתעדכנת גם היא.
• 9 באוקטובר 2019: מנהל הסיסמאות של קספרסקי לאנדרואיד גרסה 9.2.14.872 עם התיקון משוחרר.
• 10 באוקטובר 2019: מנהל סיסמאות Kaspersky עבור iOS גרסה 9.2.14.31 עם התיקון משוחרר.
• 10 בדצמבר 2019: מנהל סיסמאות קספרסקי עבור Windows 9.0.2 תיקון F משוחרר סגירת הפגם בתיקון D.
• 9 באפריל 2020: קספרסקי מודיע לנו שהם ישחררו טלאים באוקטובר כדי לטפל בסיסמאות שנוצרו בעבר.
• 13 באוקטובר 2020: מנהל הסיסמאות של קספרסקי 9.0.2 תיקון M משוחרר, עם הודעה למשתמשים ליידע אותם יש לייצר סיסמה כלשהי. קספרסקי מודיע לנו שאותה הודעה תופיע גם בגרסאות ניידות ברבעון הראשון של 2021. CVE-2020-27020 שמורים גם הם.
• 28 בדצמבר 2020: קספרסקי מסכים שניתן לחשוף דו"ח על הפגיעות לאחר פרסום ה- CVE.
• 27 באפריל 2021: ייעוץ אבטחה של קספרסקי מתפרסם.
• 14 במאי 2021: מידע ל- CVE-2020-27020 מתפרסם.

ז'אן-בפטיסט Bédrune

ראש מחקר אבטחה

האם לקספרסקי יש מחולל סיסמאות?

אבטחת הנתונים שלך תלויה במידה רבה בחוזק הסיסמה שלך. סיסמה נחשבת חזקה אם היא מכילה לפחות 16 תווים, כולל אותיות לטיניות, ספרות ותווים מיוחדים של אותיות גדולות וקטנות. מנהל סיסמאות Kaspersky מייצר סיסמאות ייחודיות וחזקות. באפשרותך לציין את אורך הסיסמה ולבחור אם לכלול ספרות, אותיות ותווים מיוחדים. אתה יכול להשתמש במחולל סיסמאות כשאתה יוצר חשבון אתר חדש או לשנות את הסיסמה שלך לחשבון קיים.

1. פתח את חלון מחולל הסיסמאות באחת הדרכים הבאות:
   • בחלון היישום הראשי, לחץ על מחולל סיסמאות .
   • בחלון דפדפן, לחץ על סמל היישום → סמל מחולל הסיסמה .
   • בשדה סיסמא באתר, רחף מעל השדה או לחץ על סמל המפתח כדי להפעיל את חלון מחולל הסיסמאות.

חלון מחולל הסיסמאות נפתח, והיישום מייצר סיסמה באמצעות הגדרות ברירת המחדל.

שנה את פרמטרי הסיסמה במידת הצורך ולחץ על לחצן חץ המעגל כדי ליצור את הסיסמה. היישום מציין אם חוזק הסיסמה בינוני או נמוך.

אם ברצונך לשמור פרמטרים של יצירת סיסמא, בחר באפשרות המותאמת אישית בכרטיסייה הגדרות וציין את הפרמטרים שאתה צריך. הפרמטרים שלך ישמרו גם אם תעביר את הכרטיסייה או תסגור את החלון.

נְקִישָׁה .

היישום מעתיק את הסיסמה שנוצרה ללוח. אתה יכול להדביק ידנית את הסיסמה לשדה הנדרש. אם אתה משתמש במחולל סיסמאות כדי ליצור חשבון אתר חדש או לשנות את הסיסמה שלך עבור חשבון קיים, היישום מדביק אוטומטית את הסיסמה לשדה הנדרש.

כמו כן, תוכלו ליצור סיסמא חזקה וייחודית תוך הוספת אתר חדש, אפליקציה או אחרים .

1. בחלון היישומים הראשי, לחץ על הוסף, לחץ על חשבון ובחר באתר, אפליקציה או אחר . חלון הכניסה נפתח.
2. בשדה הסיסמה, לחץ על צור . חלון מחולל הסיסמאות נפתח, והיישום מייצר סיסמה באמצעות הגדרות ברירת המחדל.
3. ציין פרמטרים של ייצור סיסמא במידת הצורך.
4. נְקִישָׁה . היישום מדביק אוטומטית את הסיסמה לשדה הנדרש.

מנהל הסיסמאות של קספרסקי שומר את 5 הסיסמאות האחרונות שנוצרו שהועתקו ללוח, למקרה שתאבד אותן. אתה יכול להציג את הסיסמאות המועתקות שלך בהיסטוריה של מחולל הסיסמאות. האפליקציות מאחסנות סיסמאות העתקות במחשב שלך ואינה מסנכרנת אותן על פני מכשירים.

אם הכספת שלך אינה נעולה, מחולל הסיסמאות זמין.

1. פתח את חלון מחולל הסיסמה.
2. לחץ על הכרטיסייה היסטוריית סיסמאות. רשימה של הסיסמאות שהועתקו לאחרונה לאחרונה נפתחת.
3. אם ברצונך להעתיק סיסמה ללוח, לחץ על כפתור העתקה ליד הסיסמה. הסיסמה מועתקת ללוח הלוח.
4. אם ברצונך לנקות את היסטוריית מחולל הסיסמאות, לחץ על נקה הכל . הסיסמאות המועתקות שלך נמחקות מההיסטוריה.

האם לקספרסקי יש מחולל סיסמאות?

אבטחת הנתונים שלך תלויה במידה רבה בחוזק הסיסמה שלך. סיסמה נחשבת חזקה אם היא מכילה לפחות שמונה תווים, כולל אותיות לטיניות, ספרות ותווים מיוחדים של אותיות גדולות וקטנות. מנהל סיסמאות Kaspersky מייצר סיסמאות ייחודיות וחזקות. באפשרותך לציין את אורך הסיסמה ולבחור אם לכלול ספרות ותווים מיוחדים. אתה יכול להשתמש במחולל סיסמאות כשאתה יוצר חשבון אתר חדש או לשנות את הסיסמה שלך לחשבון קיים.

1. בטל את הנעילה של הכספת על ידי הזנת הסיסמה הראשית ופתיחת ההקשה . אם המכשיר שלך תומך במזהה מגע/מזהה פנים ומזהה מגע/מזהה פנים מופעל בהגדרות האפליקציה, אתה יכול להשתמש בו כדי לפתוח את הכספת שלך במקום להזין את הסיסמה הראשית.
2. בסרגל הכרטיסיות התחתון, הקש על פרופיל . ב- iPads, סרגל הגישה המהירה מוצג תמיד בחלק השמאלי של המסך.
3. בסרגל הגישה המהירה, הקש על מחולל סיסמאות . חלון מחולל הסיסמאות נפתח, והאפליקציה מייצרת סיסמה באמצעות פרמטרי ברירת המחדל.
4. שנה את פרמטרי הסיסמה במידת הצורך:
   • הקש על אורך הסיסמה כדי לציין את מספר התווים שישמשו בעת יצירת סיסמאות.
   • הפעל/כיבוי אותיות גדולות (a - z) כדי להשתמש/לא להשתמש באותיות גדולות במהלך יצירת סיסמא. כברירת מחדל, מתג המיתוג הזה מופעל.
   • הפעל/כבה אותיות קטנות (A - Z) כדי להשתמש/לא להשתמש באותיות קטנות במהלך יצירת סיסמא. כברירת מחדל, מתג המיתוג הזה מופעל.
   • הפעל/כיבוי ספרות (0–9) לשימוש/לא להשתמש בספרים במהלך ייצור הסיסמאות. כברירת מחדל, מתג המיתוג הזה מופעל.
   • הפעל/כבה תווים מיוחדים לשימוש/לא להשתמש בתווים מיוחדים במהלך יצירת סיסמא. כברירת מחדל, מתג המיתוג הזה מופעל. אתה יכול להוסיף או למחוק תווים מיוחדים המשמשים במהלך יצירת סיסמאות בשדה מתחת למתג Toggle.

לנוחיותכם, שללנו את הסמלים הדומים הבאים מייצור סיסמאות: 0 (אפס), O (הון O), I (הון I) ו- L (קטן L).

האפליקציה מייצרת אוטומטית סיסמה חדשה כאשר הפרמטרים משתנים. אם חוזק הסיסמה שנוצרה הוא בינוני או נמוך, מנהל הסיסמה של קספרסקי מודיע לך מתחת לסיסמה. הקש כדי ליצור סיסמה שוב באמצעות הפרמטרים שנבחרו.

האפליקציה מעתיקה את הסיסמה שנוצרה ללוח. אתה יכול להדביק ידנית את הסיסמה לשדה הנדרש. כאשר אתה סוגר את חלון מחולל הסיסמאות, האפליקציה שומרת את פרמטרי הסיסמה שנבחרו עד שלא נעילת הכספת.

כדי ליצור במהירות סיסמאות ולהעתיק אותן ללוח, אתה יכול גם להשתמש בווידג'ט הסיסמאות במסך הבית של המכשיר שלך. מצא מידע נוסף על הוספת ווידג'טים באתר התמיכה של אפל.

מנהל סיסמאות

מנהל הסיסמאות של Kaspersky הוא כלי חיוני עבור משתמש האינטרנט הפעיל. זה אוטומציה באופן מלא את התהליך של הזנת סיסמאות ונתונים אחרים לאתרי אינטרנט ושומר על המשתמש לבעיה ביצירה וזכירה של סיסמאות מרובות.

כשאתה משתמש במנהל הסיסמאות של Kaspersky כדי להתחבר, אתה יכול להיות סמוך ובטוח שהנתונים שלך בטוחים. התוכנה יוצרת סיסמאות חזקות במיוחד ומונעת את גניבת פרטי הכניסה שלך. כל הנתונים הסודיים מוצפנים ונשמרים במסד נתונים ייעודי במחשב שלך.

מנהל סיסמאות Kaspersky הופך את חווית האינטרנט שלך לבטוחה יותר, מהירה ונוחה יותר.

הגרסאות האחרונות

יתרונות

מאפשר לך לגשת לאתרים ויישומים עם לחיצה יחידה בלבד של העכבר
מאחסן את הסיסמאות שלך במסד נתונים מוצפן במחשב שלך יוצר סיסמא חזקה וייחודית לכל חשבון
כולל גרסה ניידת שניתן לטעון מכונן הבזק ולהריץ במחשב אחר
ממלאת טפסים ארוכים עבורך אוטומטית

תכונות עיקריות

• היכנס עם לחיצה יחידה של העכבר
  מנהל הסיסמאות של Kaspersky זוכר את שמות המשתמש שלך ואת הסיסמאות המשויכות שלהם כך שכאשר תחזור לאתר הוא יספק את נתוני הכניסה שלך באופן אוטומטי. מנהל סיסמאות Kaspersky עובד גם עם יישומים הדורשים אימות.
• הגנה אמינה עבור הסיסמאות שלך
  מנהל סיסמאות Kaspersky מאחסן בצורה מאובטמת את הסיסמאות והנתונים האישיים שלך במסד נתונים ייעודי ומוצפן במחשב שלך. ניתן לפענח את הסיסמאות המאוחסנות רק על ידי שימוש בסיסמת אב או שיטת אימות אחרת המוגדרת על ידי המשתמש. זה מבטיח כי הסיסמאות שלך מאובטחות ומונעת עבריינים לגנוב אותם.
• תומך בשיטות אימות שונות
  מנהל הסיסמאות של Kaspersky עוזר לך לשלוט בגישה למסד הנתונים של הסיסמה שלך באמצעות סיסמת אב או באמצעות מכשיר USB או Bluetooth. אתה יכול אפילו להשתמש בטלפון הנייד שלך: ניתן להגדיר את הסיסמאות שלך כך שהן יהיו זמינות רק כאשר הטלפון הנייד שלך מחובר למחשב שלך באמצעות Bluetooth. אם אתה עוזב את המחשב ולקחת איתך את הטלפון שלך, בסיס הנתונים ינעל את עצמו אוטומטית.
• יצירת סיסמאות חזקות
  אבטחת הנתונים שלך תלויה ישירות עד כמה הסיסמאות שלך חזקות. למשתמשים לעתים קרובות יש סיסמאות דומות או זהות לחשבונות מרובים. על ידי פיצוח סיסמא יחידה, פושעי רשת יכולים בקלות לקבל גישה לחשבונות רבים. מחולל הסיסמאות המשולב במנהל הסיסמאות של קספרסקי ייצר עבורך סיסמאות חזקות שקשה מאוד לפיצוח.
• ייבא סיסמאות ממערכות הפעלה ויישומים אחרים
  עם Internet Explorer או Mozilla Firefox, סיסמאות מאוחסנות בפורמט לא מוגן וניתן בקלות לגשת אליהן על ידי פושעי סייבר. מנהל הסיסמאות של Kaspersky עוזר לך לאתר סיסמאות לא מוגנות אלה ולייבא אותן למסד הנתונים של הסיסמה המוצפנת.
• גרסת נייד
  מנהל סיסמאות Kaspersky&rsquo;גרסה ניידת מספקת גישה לסיסמאות שלך תוך כדי עבודה על כל מחשב, מבלי שתצטרך להתקין דבר. ניתן להפעיל את הגרסה הניידת מסוגים שונים של מכשירים ניידים, כולל כונני פלאש. אם המכשיר מוסר אז, Kaspersky Manage.
• משלים אוטומטית טפסים ארוכים
  טפסי אתר דורשים לעתים קרובות הזנת מידע אישי מעבר לזה של שם המשתמש והסיסמה. נתונים נוספים כאלה עשויים לכלול: שמך המלא, תאריך הלידה, מין, כתובת דוא"ל, מספר טלפון, ארץ מגורים וכו '. מנהל סיסמאות Kaspersky יכול למלא אוטומטית עבורך טפסים מסוג זה, באמצעות מידע שאתה מספק מראש. ניתן להשתמש במספר תעודות זהות לאחסון מידע הקשור לעסקים ומידע אישי בנפרד.
• מספר שמות משתמש עבור ספק חשבון יחיד
  לפעמים, יש לאחסן מספר סיסמאות עבור אתר יחיד. לדוגמה, יתכן שיש לך מספר תיבות דואר, לכל אחת מטרה אחרת, הרשומה עם ספק שירות דואר יחיד. מנהל סיסמאות Kaspersky יכול לאחסן מספר שמות משתמש עבור ספק יחיד ולבדוק באיזה מהם תרצה להשתמש כשאתה נכנס.
• גיבוי אוטומטי
  מנהל הסיסמאות של Kaspersky יוצר אוטומטית עותק גיבוי של מסד הנתונים של הסיסמה שלך במחשב בכל פעם שהוא משתנה. אתה יכול לשחזר בקלות את הסיסמאות שלך אם מסד הנתונים הנוכחי נפגע בטעות, או אם ברצונך לחזור לגירסה קודמת.
• הגנה יעילה מפני Keyloggers
  Keylogger היא תוכנית זדונית העוקבת אחר הקשות על הקורבן&rsquo;מחשב כדי ללכוד את המשתמש באופן לא חוקי&rsquo;נתונים אישיים, כגון סיסמאות. מנהל סיסמאות Kaspersky מזין סיסמאות מבלי להשתמש במקלדת בפועל ומגן בצורה יעילה על הנתונים האישיים שלך מפני Keyloggers.
• הגנה מפני התקפות דיוג
  דיוג הוא סוג של פעילות עוינת לפיה פושעי רשת מזמין את המשתמש לבקר באתר באתר על מנת להערים על המשתמש לחולל את פרטי החשבון שלו. האתר המזויף נראה זהה לאתר המקורי ומשתמש לא יודע כתוצאה מכך מספקים את הנתונים האישיים שלהם. מנהל סיסמאות Kaspersky מונה למעשה את התקפות הדיוג על ידי בדיקה אם כתובת האתר אותנטית ואם התוכנה שלך מעודכנת.

דרישות מערכת

שימו לב שאיננו מציעים תמיכה בגרסאות בטא או תצוגה מקדימה של מערכות הפעלה חדשות e.ז. חלונות 8.תצוגה מקדימה אחת. רק מהדורות רשמיות סופיות יתמכו.

• מהדורת הבית של Microsoft Windows XP
• Microsoft Windows XP Professional
• Microsoft Windows XP Professional X64 Edition
• Microsoft Windows Vista Home Basic (32/64 Bit)
• Microsoft Windows Vista Home Premium (32/64 Bit)
• Microsoft Windows Vista Business (32/64 Bit)
• Microsoft Windows Vista Enterprise (32/64 bit)
• Microsoft Windows Vista Ultimate (32/64 Bit)
• Microsoft Windows 7 Home Premium (32/64 Bit)
• Microsoft Windows 7 Professional (32/64 bit)
• Microsoft Windows 7 Ultimate (32/64 Bit)
• Windows 8 (32/64 bit)
• Windows 8 Pro (32/64 bit)
• Windows 8 Enterprise (32/64 bit)

• לפחות 512 מגה בייט זמין
  שטח פנוי של 10 מגה -בייט בכונן הקשיח
  עכבר מחשב

• Microsoft Internet Explorer 6.0 - 10.0
• Mozilla Firefox 2.x - 25.איקס
• Google Chrome 6.0 - 30.0
• Maxthon 2.5.איקס
• צאן 2.х
• Seamonkey 2.0.8 - 2.22
• ינדקס 1.5

מנהל הסיסמאות של קספרסקי יצר סיסמאות רעות

מחולל המספרים האקראיים במנהל הסיסמאות של קספרסקי לא היה מספיק אקראי מספיק. הנה למה.

נכתב על ידי אדם רו

פורסם ב- 7 ביולי 2021

ניתן לסלוח לך על ההנחה שהסיסמה שנוצרה באופן אקראי נוצרה באקראי. זה לא בדיוק היה המקרה של מנהל הסיסמאות של קספרסקי במשך קצת פחות משנתיים.

מנהל הסיסמאות של חברת Sybersecurity Company השתמש במנגר אוטומטי מובנה עם פגם בולט במיוחד. הם טלאו את זה, אבל כל משתמשי מנהל הסיסמאות של קספרסקי צריכים לשנות את הסיסמאות שנוצרו בעבר בהקדם.

הנה מה שהשתבש.

הפגם

מחולל הסיסמאות פועל ליצירת סיסמאות על ידי ביצוע קבוצה &ldquo;מְדִינִיוּת,&rdquo; עם הגדרות הכוללות אורך סיסמא, אותיות גדולות, אותיות קטנות, ספרות וסט של תווים מיוחדים בהתאמה אישית. ניתן להתאים אותם להתאמה אישית, אך מדיניות ברירת המחדל היא סיסמא של 12 תווים.

האם אתה כבר משתמש במנהל סיסמאות?

אז מה הבעיה? ובכן, כל מחולל מספר אקראי זקוק למקורות אנטרופיה אחד או יותר - אלמנט אי הוודאות שמבטיח שהתוצאה תישאר אקראית. אבל הזרע שקספרסקי החל איתו היה זמן המערכת הנוכחי הנוכחי, תוך שניות. כן, הזמן, אחד המדדים הצפויים והלא אקראיים ביותר שם בחוץ.

כך הסביר את לדג'ר דונג'ון, ראש מחקר אבטחה ב- Jean-Baptiste Bédruna, בפוסט בבלוג:

&ldquo;אז הזרע המשמש לייצור כל סיסמה הוא זמן המערכת הנוכחי, תוך שניות. זה אומר שכל מופע של מנהל סיסמאות Kaspersky בעולם יפיק את אותה הסיסמה בדיוק בשנייה נתונה. זה יהיה ברור לאתר אם כל לחיצה על &lsquo;צור כפתור ', בממשק מחולל הסיסמה, הפיק את אותה סיסמה.&rdquo;

הסיבה שאנשים לא שמו לב שכל סיסמה שנוצרה באותה שנייה הייתה בדיוק זהה היא מכיוון שלממשק יש אנימציה של שניות שהיא מנגנת, מה שמבטיח שאף אחד לא יכול ליצור שתי סיסמאות באותה שנייה.

אבל זה פגם גדול. כל האקר שיודע את הטריק יכול לזרז על כל סיסמה: מספר השניות ביום הוא סופי, והאקר יכול לעבור את כל 315,619,200 הסיסמאות הקשורות לשניות של העשור בין 2010 ל 2021 תוך מספר דקות בלבד.

ואם חשבון מקוון מציג בפומבי את התאריך בו הוא נוצר, האקר יצטרך להריץ עוד פחות סיסמאות פוטנציאליות לפני שיפצח סיסמת קספרסקי.

סיסמאות מאובטחות חיוניות

קספרסקי הוזעק לנושא, והפיל תיקון. אבל כל סיסמה שכבר נוצרה על ידי גרסה פגיעה של התוכנה עדיין ניתנת לפיצוח בקלות - קצת סיוט לכל מי שמשתמש בשירות באופן ספציפי כדי להבטיח את הסיסמאות שלהם לא ניתן לסדוק את הסיסמאות שלהם.

אם אתה משתמש במנהל הסיסמאות של קספרסקי, שנה את הסיסמאות שלך כעת. ואם אתה נמצא בשוק של מנהל סיסמאות שישמור על הפעילות המקוונת שלך פרטית, סקרנו את כל האפשרויות המובילות לעומק כאן - שאף אחת מהן לא הסתבכה בקשירת מחוללי המספרים האקראיים שלהם לאלגוריתם סדוק בקלות.