談到網(wǎng)絡(luò)安全，不得不提到密碼保護(hù)。不少網(wǎng)民常常用到第三方密碼管理工具，輔助加密、防范上網(wǎng)安全問題。不過安全研究人員發(fā)現(xiàn)，目前流行的密碼管理工具存在嚴(yán)重安全缺陷，預(yù)計在8月的安全會議上發(fā)布安全報告。
據(jù)國外Arstechnica網(wǎng)站介紹，這些研究人員分別檢查了人氣產(chǎn)品LastPass、以及其他三款基于Web的密碼管理器，同時發(fā)現(xiàn)四款產(chǎn)品存在嚴(yán)重安全缺陷。其中最嚴(yán)重的Bug允許攻擊者遠(yuǎn)程從用戶的密碼庫中提取明文密碼，而且無需任何安全驗證。
所幸的是，LastPass和其他三款同類產(chǎn)品的開發(fā)者已及時修復(fù)該“致命傷”，不過還是敲響了第三方密碼管理工具的安全警鐘。如果這些加州大學(xué)學(xué)術(shù)研究員再一次找到破解LastPass第三方密碼管理器途徑，那其他網(wǎng)絡(luò)罪犯同樣也可能實現(xiàn)該攻擊方式。
據(jù)加州大學(xué)的研究人員介紹，他們在LastPass發(fā)現(xiàn)了一個最嚴(yán)重漏洞，主要應(yīng)用在自動填寫網(wǎng)站密碼，該書簽功能的bug允許通過嵌入網(wǎng)站的惡意代碼竊取其它網(wǎng)站的憑證。然后，攻擊者能利用該漏洞入侵正在使用LastPass登錄的用戶，只要用戶點擊書簽，攻擊者就可以悄悄竊取其他網(wǎng)站的明文密碼。