Запоминание всех ваших паролей ко всем вашим онлайн-аккаунтам является сложной задачей, и именно поэтому существуют менеджеры паролей, такие как LastPass, Dashlane и 1Password. Но эти огромные зашифрованные базы данных имен пользователей и паролей являются основными целями для преступников, и многие программы пострадали от взлома.
На этой неделе бесплатный менеджер паролей KeePass объявил на своем сайте, что уязвимость существует в своем программном обеспечении, и хакеры могли рассылать пользователям поддельные обновления программного обеспечения, содержащие вредоносное ПО, выдавая себя за новое программное обеспечение KeePass. KeePass использует незашифрованный протокол передачи гипертекста (HTTP) вместо защищенной версии HTTPS. (Если вы не знаете, что такое HTTP и HTTPS, взгляните на URL-адрес этой страницы. HTTPS - это протокол, по которому размещаются данные, передаваемые между интернет-браузером и веб-сайтами. HTTPS безопасен и аутентифицирует каждый веб-сайт и сервер, чтобы сделать уверен, что вредоносный сайт не выдает себя за законный.)
Исследователь безопасности Флориан Богнер рассказывает LifeHacker что, поскольку KeePass использует HTTP для обновлений программного обеспечения, злоумышленники могут создавать поддельные обновления, содержащие вредоносное ПО.
KeePass объясняет на своем сайте:
Файл с информацией о версии загружается с веб-сайта KeePass по протоколу HTTP. Таким образом, человек посередине (кто-то, кто может перехватить ваше соединение с веб-сайтом KeePass) мог вернуть файл с неверной информацией о версии, что, возможно, заставило KeePass отобразить уведомление о доступности новой версии KeePass.
KeePass утверждает, что то, что хакер отправляет вам поддельное обновление с вредоносным ПО, не означает, что атака уже началась, потому что KeePass не поддерживает автоматические обновления. Пользователи KeePass должны вручную загрузить новую версию. KeePass говорит, что пользователи должны проверять цифровую подпись и, если есть вредоносное ПО, не загружать его.
Сал Вулкано женился
Для получения дополнительной информации о том, как проверить цифровую подпись, посмотрите видео Богнера ниже:
