Bulut tabanlı şifre yöneticileri yıllardır basit bir vaatte bulunuyor: "sıfır bilgi şifrelemesi" yoluyla tam güvenlik. Ancak ETH Zürih'teki araştırmacıların yeni bir analizi, en saygın ürünlerin bile -Bitwarden, LastPass ve Dashlane- bu iddiayı karşılamadığını gösteriyor. Yalnızca kullanıcıların şifrelerine erişebileceğini garanti eden pazarlama stratejilerine rağmen, çalışma, tehlikeye atılmış sunucuların sözde mühürlü kasalarda saklanan hassas verileri açığa çıkarmasına veya hatta değiştirmesine olanak sağlayabilecek kusurlar buldu.
ETH Zürih Uygulamalı Kriptografi Grubu liderliğindeki araştırma , en yaygın kullanılan üç bulut tabanlı parola yöneticisindeki temel şifreleme sistemlerini test etti. Bu hizmetler birlikte yaklaşık 60 milyon kullanıcının kimlik bilgilerini yönetiyor; bu da pazarın çok büyük bir payını oluşturuyor.
Araştırmacılar, "kötü amaçlı sunucu tehdit modeli" olarak tanımladıkları bir yöntem kullanarak, oturum açma veya veri senkronizasyonu gibi istemci etkileşimleri sırasında anormal davranışlar sergileyebilen, ele geçirilmiş sunucuları simüle ettiler. Sonuçlar düşündürücüydü: Bitwarden'a karşı 12 , LastPass'e karşı yedi ve Dashlane'e karşı altı başarılı saldırı gerçekleştirildi .
Ekip, birçok durumda şifrelere ve hesap verilerine tam erişim sağlayarak, saldırganların kasa sistemlerini ihlal etmek için sıradan kullanıcı eylemlerini nasıl manipüle edebileceklerini gösterdi.
ETH Zürih grubunun başkanı Profesör Kenneth Paterson, güvenlik açıklarının beklenenden daha ciddi olduğunu söyledi. Ekibi, diğer bulut tabanlı uygulamalarda da benzer sorunlar tespit etmişti, ancak parola yöneticilerinin -kimlik bilgilerinin dijital kasası rolü göz önüne alındığında- daha güçlü güvenlik önlemleri geliştirdiğini varsaymıştı. Bunun yerine, sunuculara şifre çözme sürecinde çok fazla etki alanı tanıyan şifreleme mimarileri etrafında inşa edilmiş sistemler buldular.
Doktora öğrencisi Matteo Scarlata'ya göre, bu mimari zayıflıkların nedenlerinden biri güvenlik ve kullanım kolaylığı arasındaki gerilimden kaynaklanıyor. Şifre yöneticisi geliştiricileri, hesap kurtarma ve aile paylaşımı gibi özellikler sunarak kullanıcı deneyimini mümkün olduğunca sorunsuz tutmayı hedefliyor.
Ancak bu kolaylıklar karmaşıklığı da beraberinde getirerek saldırı yüzeyini genişletiyor. Scarlata, "Bu tür saldırılar özellikle güçlü bilgisayarlar veya sunucular gerektirmiyor; sadece sunucuyu taklit edebilen küçük programlar yeterli," dedi.
Paterson'ın grubu, sonuçlarını kamuoyuna açıklamadan önce etkilenen şirketlere güvenlik açıklarını gidermeleri için 90 gün süre verdi. Çoğu tedarikçi iş birliği içinde yanıt verdi, ancak bazıları altta yatan sorunları ele almakta yavaş davrandı.
Araştırmacılar, geliştiricilerin, müşterilerin depoladıkları verilere erişimlerini kaybetme korkusuyla şifreleme sistemlerini elden geçirmekte genellikle isteksiz olduklarını belirtti; bu risk, özellikle kuruluşlar genelinde çalışan kimlik bilgilerini yöneten kurumsal müşteriler için endişe verici. Bu nedenle birçok sağlayıcı, akademik çevrelerde uzun zamandır eskimiş kabul edilen, 1990'lara dayanan kriptografik çerçevelere güvenmeye devam ediyor.
ETH ekibi şu anda modernizasyon için çalışıyor. Scarlata, yeni müşterileri güncellenmiş mimarilere geçirirken mevcut kullanıcıların risklerin tam bilincinde olarak gönüllü olarak geçiş yapmalarına olanak tanıyan hibrit bir geçiş modeli öneriyor. Araştırmacılar, gelecekteki sistemlerin varsayılan olarak modern uçtan uca şifrelemeyi kullanması ve tutarlı üçüncü taraf denetiminden geçmesi gerektiğini savunuyor.
Ciddi kusurlarına rağmen, araştırmacılar parola yöneticilerinin çoğu kullanıcının karşılaştığı yüzlerce kimlik bilgisini yönetmek için değerli araçlar olmaya devam ettiğini vurguluyor. Paterson, kullanıcılara güvenlik sınırlamaları konusunda açık olan ve bağımsız incelemeye tabi olan hizmetleri tercih etmelerini tavsiye ediyor. Ona göre nihai amaç, teknolojiyi itibarsızlaştırmak değil, sektör genelinde daha fazla şeffaflık ve daha sağlam tasarım ilkelerini zorlamaktır.
Kaynak :
https://www.techspot.com/news/111362-ne ... hlane.html
