חוקר: Chrome, Safari מנהלי סיסמאות צריכים עבודה

הדפדפנים של Chrome ו- Apple Safari של גוגל יכולים לעשות עבודה טובה יותר בהגנה על סיסמאות, כך על-פי חוקר אבטחה שפרסמה היום (ב ') מחקר על מנהלי סיסמאות הדפדפן.

"Safari ו- Chrome קשורים למעשה למנהל הסיסמה הגרוע ביותר המובנה דפדפן אינטרנט מרכזי ", אמר רוברט צ'אפין, נשיא Chapin Information Services, בדו"ח שלו, שבדק את סוגי בדיקות האבטחה שהדפדפנים השתמשו כדי לוודא שהם שולחים מידע על שם משתמש וסיסמה לאתרי אינטרנט חוקיים במקום להאקרים חכמים.

לפני שנתיים דיווח צ'אפין על שגיאת מנהל סיסמאות שהתפרסמה באופן נרחב בדפדפן פיירפוקס, שדורגה על ידי מפתחי Mozilla. באג היה בשימוש על ידי התוקפים באתר האינטרנט MySpace.com שהקים דף כניסה מזויף כדי לגנוב את פרטי החשבון ממשתמשי אתר הרשתות החברתיות. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

פיירפוקס עשה עכשיו הרבה כדי לשפר את מנהל הסיסמאות שלו, אבל כל המוצרים האלה עדיין רחוקים מלהיות מושלמים, אמר צ'אפין בראיון. "האם כולם צריכים לשים אמון בכל 100% בכל מנהל סיסמאות?" הוא שאל. "בכלל לא". בעיה אחת היא שמנהלי הסיסמאות של היום יכולים להיות מרומים בהגשת אישורי סיסמה שונים לחלקים שונים של אותו אתר. זה מה האקרים עשה עם ההתקפה MySpace, פרסום טופס כניסה מזויפת סיסמה בדף MySpace. כי הן טפסים הכניסה מזויפים אמיתי היו על התחום myspace.com, דפדפנים כמו פיירפוקס יכול להיות מרומה לתוך באופן אוטומטי לשלוח מידע כניסה למרמים. הבאג תוקן ב- Firefox עכשיו, אבל Chrome ו- Safari עדיין חשופים להתקפות דומות.

בעיה נוספת היא שדפדפנים ישלחו סיסמאות המיועדות לדומיין אחד, למשל Google.com, לדומיין אחר - לדוגמה, Myspace. com - ללא אזהרה למשתמש, הוא אמר. הסיבה לכך היא שמקבלי הדפדפן מניחים כי הדף שמבקש את הסיסמה צריך להיות מהימן, גם אם הוא שולח את הסיסמה לתחום אחר, הוא אומר.

Chapin אומר שהוא משתמש במנהל סיסמאות האופרה משום שהוא עושה עבודה טובה יותר לתת לו שמור סיסמאות עבור דפי אינטרנט ספציפיים. הוא פרסם מבחן מקוון שבו משתמשים יכולים לבדוק את האבטחה של מנהלי הסיסמאות שלהם.

רוברט האנסן, מנכ"ל חברת סקוריטי, אמר כי קהילת האבטחה ידעה כבר כמה שנים שמנהלי סיסמאות הדפדפן אינם בטוחים. זה בעיקר בגלל הדפדפנים עצמם חשופים כל כך הרבה סוגים שונים של התקפה. "הם לא רעיון גדול מנקודת מבט ביטחונית ברגע שהם משולבים בדפדפן", אמר בהודעה מיידית. "הדפדפן עצמו לא נועד לעצור נתח גדול של מנצלים המאפשרים גניבת מנהל סיסמאות, בלי המנצלים האלה, פריצות של מנהל הסיסמאות לא יעבדו".