📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um novo estudo descobriu que vários gerenciadores de senhas baseados em nuvem, incluindo Bitwarden, Dashlane e LastPass, são suscetíveis a ataques de recuperação de senha sob certas condições.
“Os ataques variam em gravidade, desde violações de integridade até o comprometimento completo de todos os cofres de uma organização”, disseram os pesquisadores Matteo Scarlata, Giovanni Torrisi, Matilda Backendal e Kenneth G. Paterson. “A maioria dos ataques permite a recuperação de senhas”.
É importante notar que o ator da ameaça, de acordo com o estudo da ETH Zurich e da Università della Svizzera italiana, supõe um servidor malicioso e tem como objetivo examinar as promessas de criptografia de conhecimento zero (ZKE) do gerenciador de senhas feitas pelas três soluções. ZKE é uma técnica criptográfica que permite que uma parte prove o conhecimento de um segredo para outra parte sem realmente revelar o segredo em si.
ZKE também é um pouco diferente da criptografia ponta a ponta (E2EE). Enquanto E2EE se refere a um método de proteção de dados em trânsito, ZKE trata principalmente de armazenar dados em um formato criptografado de forma que apenas a pessoa com a chave possa acessar essas informações. Os fornecedores de gerenciadores de senhas são conhecidos por implementar o ZKE para “melhorar” a privacidade e a segurança do usuário, garantindo que os dados do cofre não possam ser adulterados.
No entanto, a pesquisa mais recente descobriu 12 ataques distintos contra o Bitwarden, sete contra o LastPass e seis contra o Dashlane, que vão desde violações de integridade de cofres de usuários direcionados até um comprometimento total de todos os cofres associados a uma organização. Coletivamente, essas soluções de gerenciamento de senhas atendem a mais de 60 milhões de usuários e quase 125 mil empresas.
“Apesar das tentativas dos fornecedores de obter segurança neste cenário, descobrimos vários antipadrões de design comuns e equívocos criptográficos que resultaram em vulnerabilidades”, disseram os pesquisadores em um documento anexo.
Os ataques enquadram-se em quatro grandes categorias -
Ataques que exploram o mecanismo de recuperação de conta “Key Escrow” para comprometer as garantias de confidencialidade do Bitwarden e LastPass, resultantes de vulnerabilidades em seus designs de garantia de chave.
Ataques que exploram a criptografia falha em nível de item, ou seja, criptografam itens de dados e configurações confidenciais do usuário como objetos separados e geralmente se combinam com metadados não criptografados ou não autenticados, resultando em violações de integridade, vazamento de metadados, troca de campo e downgrade da função de derivação de chave (KDF).
Ataques que exploram recursos de compartilhamento para comprometer a integridade e a confidencialidade do cofre.
Ataques que exploram a compatibilidade retroativa com código legado que resultam em ataques de downgrade no Bitwarden e no Dashlane.
O estudo também descobriu que o 1Password, outro gerenciador de senhas popular, é vulnerável tanto à criptografia de cofre em nível de item quanto a ataques de compartilhamento. No entanto, o 1Password optou por tratá-los como decorrentes de limitações arquitetônicas já conhecidas.
Resumo dos ataques (BW significa Bitwarden, LP para LastPass e DL para Dashlane)
Quando contatado para comentar, Jacob DePriest, diretor de segurança da informação e diretor de informações da 1Password, disse ao The Hacker News que a segurança da empresa revisou o documento detalhadamente e não encontrou novos vetores de ataque além daqueles já documentados em seu documento branco de design de segurança disponível publicamente.
“Estamos comprometidos em fortalecer continuamente nossa arquitetura de segurança e avaliá-la contra modelos avançados de ameaças, incluindo cenários de servidores maliciosos como os descritos na pesquisa, e evoluí-la ao longo do tempo para manter as proteções nas quais nossos usuários confiam”, acrescentou DePriest.
"Por exemplo, o 1Password usa Secure Remote Password (SRP) para autenticar usuários sem transmitir chaves de criptografia aos nossos servidores, ajudando a mitigar classes inteiras de ataques no lado do servidor. Mais recentemente, introduzimos um novo recurso para credenciais gerenciadas pela empresa, que desde o início são criadas e protegidas para resistir a ameaças sofisticadas."
Quanto ao resto, Bitwarden, Dashlane e LastPass implementaram contramedidas para mitigar os riscos destacados na pesquisa, com o LastPass também planejando fortalecer a redefinição de senha de administrador e compartilhar fluxos de trabalho para combater a ameaça representada por um intermediário malicioso. Não há evidências de que qualquer uma dessas questões tenha sido explorada em estado selvagem.
Especificamente, o Dashlane corrigiu um problema em que um comprometimento bem-sucedido de seus servidores poderia ter permitido um downgrade do modelo de criptografia usado para gerar chaves de criptografia e proteger os cofres dos usuários. O problema foi corrigido com a remoção do suporte para métodos de criptografia legados com a extensão Dashlane versão 6.2544.1 lançada em novembro de 2025.
“Esse downgrade pode resultar no comprometimento de uma senha mestra fraca ou facilmente adivinhável e no comprometimento de itens individuais do cofre ‘rebaixados’”, disse Dashlane. "Essa questão foi a re
“Os ataques variam em gravidade, desde violações de integridade até o comprometimento completo de todos os cofres de uma organização”, disseram os pesquisadores Matteo Scarlata, Giovanni Torrisi, Matilda Backendal e Kenneth G. Paterson. “A maioria dos ataques permite a recuperação de senhas”.
É importante notar que o ator da ameaça, de acordo com o estudo da ETH Zurich e da Università della Svizzera italiana, supõe um servidor malicioso e tem como objetivo examinar as promessas de criptografia de conhecimento zero (ZKE) do gerenciador de senhas feitas pelas três soluções. ZKE é uma técnica criptográfica que permite que uma parte prove o conhecimento de um segredo para outra parte sem realmente revelar o segredo em si.
ZKE também é um pouco diferente da criptografia ponta a ponta (E2EE). Enquanto E2EE se refere a um método de proteção de dados em trânsito, ZKE trata principalmente de armazenar dados em um formato criptografado de forma que apenas a pessoa com a chave possa acessar essas informações. Os fornecedores de gerenciadores de senhas são conhecidos por implementar o ZKE para “melhorar” a privacidade e a segurança do usuário, garantindo que os dados do cofre não possam ser adulterados.
No entanto, a pesquisa mais recente descobriu 12 ataques distintos contra o Bitwarden, sete contra o LastPass e seis contra o Dashlane, que vão desde violações de integridade de cofres de usuários direcionados até um comprometimento total de todos os cofres associados a uma organização. Coletivamente, essas soluções de gerenciamento de senhas atendem a mais de 60 milhões de usuários e quase 125 mil empresas.
“Apesar das tentativas dos fornecedores de obter segurança neste cenário, descobrimos vários antipadrões de design comuns e equívocos criptográficos que resultaram em vulnerabilidades”, disseram os pesquisadores em um documento anexo.
Os ataques enquadram-se em quatro grandes categorias -
Ataques que exploram o mecanismo de recuperação de conta “Key Escrow” para comprometer as garantias de confidencialidade do Bitwarden e LastPass, resultantes de vulnerabilidades em seus designs de garantia de chave.
Ataques que exploram a criptografia falha em nível de item, ou seja, criptografam itens de dados e configurações confidenciais do usuário como objetos separados e geralmente se combinam com metadados não criptografados ou não autenticados, resultando em violações de integridade, vazamento de metadados, troca de campo e downgrade da função de derivação de chave (KDF).
Ataques que exploram recursos de compartilhamento para comprometer a integridade e a confidencialidade do cofre.
Ataques que exploram a compatibilidade retroativa com código legado que resultam em ataques de downgrade no Bitwarden e no Dashlane.
O estudo também descobriu que o 1Password, outro gerenciador de senhas popular, é vulnerável tanto à criptografia de cofre em nível de item quanto a ataques de compartilhamento. No entanto, o 1Password optou por tratá-los como decorrentes de limitações arquitetônicas já conhecidas.
Resumo dos ataques (BW significa Bitwarden, LP para LastPass e DL para Dashlane)
Quando contatado para comentar, Jacob DePriest, diretor de segurança da informação e diretor de informações da 1Password, disse ao The Hacker News que a segurança da empresa revisou o documento detalhadamente e não encontrou novos vetores de ataque além daqueles já documentados em seu documento branco de design de segurança disponível publicamente.
“Estamos comprometidos em fortalecer continuamente nossa arquitetura de segurança e avaliá-la contra modelos avançados de ameaças, incluindo cenários de servidores maliciosos como os descritos na pesquisa, e evoluí-la ao longo do tempo para manter as proteções nas quais nossos usuários confiam”, acrescentou DePriest.
"Por exemplo, o 1Password usa Secure Remote Password (SRP) para autenticar usuários sem transmitir chaves de criptografia aos nossos servidores, ajudando a mitigar classes inteiras de ataques no lado do servidor. Mais recentemente, introduzimos um novo recurso para credenciais gerenciadas pela empresa, que desde o início são criadas e protegidas para resistir a ameaças sofisticadas."
Quanto ao resto, Bitwarden, Dashlane e LastPass implementaram contramedidas para mitigar os riscos destacados na pesquisa, com o LastPass também planejando fortalecer a redefinição de senha de administrador e compartilhar fluxos de trabalho para combater a ameaça representada por um intermediário malicioso. Não há evidências de que qualquer uma dessas questões tenha sido explorada em estado selvagem.
Especificamente, o Dashlane corrigiu um problema em que um comprometimento bem-sucedido de seus servidores poderia ter permitido um downgrade do modelo de criptografia usado para gerar chaves de criptografia e proteger os cofres dos usuários. O problema foi corrigido com a remoção do suporte para métodos de criptografia legados com a extensão Dashlane versão 6.2544.1 lançada em novembro de 2025.
“Esse downgrade pode resultar no comprometimento de uma senha mestra fraca ou facilmente adivinhável e no comprometimento de itens individuais do cofre ‘rebaixados’”, disse Dashlane. "Essa questão foi a re
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #estudo #revela #25 #ataques #de #recuperação #de #senha #nos #principais #gerenciadores #de #senhas #em #nuvem
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário