संकेतशब्द व्यवस्थापक त्यांच्या म्हणण्याइतके सुरक्षित नाहीत

ऑनलाइन कनेक्शन अधिकाधिक असंख्य झाले आहेत 2010 पासून, विशेषत: सोशल मीडियाच्या आगमनाने. बर्‍याच ऑनलाइन सेवा वापरकर्त्यांना सर्वत्र समान संकेतशब्द न वापरण्यास प्रोत्साहित करतात.

येथेच संकेतशब्द व्यवस्थापक येतात वापरकर्त्यांना सुरक्षिततेच्या थरासह मध्यभागी असलेले सर्व संकेतशब्द ठेवण्यास मदत करण्यासाठी (मेटाडेटा आणि बरेच काही जोडा).

संकेतशब्द व्यवस्थापक कसा वापरायचा?

संकेतशब्द व्यवस्थापक एका एनक्रिप्टेड डेटाबेसमधून गोपनीय माहिती संग्रहित आणि पुनर्प्राप्त करण्यास अनुमती द्या.

गळतीपासून बचाव करण्याच्या अधिक सुरक्षिततेची हमी देण्याचा त्यांचा विश्वास आहे असुरक्षित मजकूर फायली यासारख्या संकेतशब्द संचयित करण्याच्या अन्य साधनांच्या तुलनेत नगण्य आहे.

दुसर्‍या शब्दांत, संकेतशब्द व्यवस्थापक आपले सर्व संकेतशब्द इंटरनेटवर एकाच ठिकाणी ठेवू शकतात, जेणेकरून ते खूप उपयुक्त आहेत.

सर्वकाही ते जसे पेंट करतात तसे नाही

असे म्हटले जात आहे, स्वतंत्र सुरक्षा परीक्षकांचा एक गट, आयएसईने या आठवड्यात अहवाल दिला आहे की काही सर्वात लोकप्रिय संकेतशब्द व्यवस्थापकांकडे काही असुरक्षितता आहेत वापरकर्त्यांकडून ओळख माहिती चोरण्यासाठी त्यांचा उपयोग केला जाऊ शकतो, असे गृहीत धरुन की अद्याप तृतीय पक्षाद्वारे त्यांचे शोषण झाले नाही.

गटाने सादर केलेल्या अहवालात, संरक्षणाचे वर्णन केले आहे की संकेतशब्द व्यवस्थापकांनी पाच लोकप्रिय संकेतशब्द व्यवस्थापकांच्या अंतर्निहित ऑपरेशनची तपासणी केली पाहिजे.

विनामूल्य सॉफ्टवेअरदेखील सूट नाही

हे संकेतशब्द व्यवस्थापक 1 पासवर्ड, कीपॅस, डॅश्लेन आणि लास्टपास आहेत. ते म्हणतात की खाली सूचीबद्ध केलेले सर्व संकेतशब्द व्यवस्थापक त्याच प्रकारे कार्य करतात.

वापरकर्ते सॉफ्टवेअरमध्ये संकेतशब्द प्रविष्ट करतात किंवा व्युत्पन्न करतात आणि संबंधित मेटाडेटा जोडतात (उदाहरणार्थ, सुरक्षा प्रश्नांची उत्तरे आणि संकेतशब्द ज्या साइटसाठी डिझाइन केले आहेत).

ही माहिती कूटबद्ध केलेली आहे आणि नंतर केवळ जेव्हा स्क्रीन ब्राउझर प्लग-इनमध्ये वेबसाइटवर संकेतशब्द भरते किंवा ती वापरण्यासाठी क्लिपबोर्डवर कॉपी करते तेव्हा त्यास प्रसारित करणे आवश्यक असते.

या प्रत्येक प्रशासकासाठी, गट अस्तित्वातील तीन राज्ये परिभाषित करतो: न चालवणे, अनलॉक केलेले आणि लॉक केलेले नाही.

पहिल्या राज्यात, संकेतशब्द व्यवस्थापकाने एनक्रिप्शनची हमी दिली पाहिजे जेणेकरुन जोपर्यंत वापरकर्ता क्षुल्लक संकेतशब्द वापरत नाही तोपर्यंत हल्लेखोर अचानक पासवर्डमधील मुख्य संकेतशब्दाचा अंदाज घेऊ शकत नाही.

दुसर्‍या स्थितीत, मेमरीमधून मास्टर संकेतशब्द काढणे शक्य नाही मूळ मास्टर संकेतशब्द पुनर्प्राप्त करण्यासाठी थेट किंवा इतर कोणत्याही प्रकारे.

आणि तिसर्‍या स्थितीमध्ये, सक्रिय नसलेल्या संकेतशब्द व्यवस्थापकाची सर्व सुरक्षा हमी लॉक केलेल्या स्थितीत संकेतशब्द व्यवस्थापकास लागू करणे आवश्यक आहे.

त्यांच्या विश्लेषणामध्ये परीक्षकांनी प्रत्येक संकेतशब्द व्यवस्थापकाद्वारे मास्टर संकेतशब्दाला एन्क्रिप्शन कीमध्ये रूपांतरित करण्यासाठी वापरलेल्या अल्गोरिदमचे परीक्षण केल्याचा दावा केला आहे आणि आजच्या क्रॅकिंग हल्ल्यांचा सामना करण्यास अल्गोरिदममध्ये जटिलता नाही.

सुरक्षा प्रशासकांच्या विश्लेषणावर

1 संकेतशब्द 4 च्या बाबतीत (आवृत्ती 4.6.2.628), त्याच्या ऑपरेशनल सुरक्षा आकलनास अनलॉक केलेल्या स्थितीत वैयक्तिक संकेतशब्दांच्या प्रदर्शनाविरूद्ध वाजवी संरक्षण सापडले.

अनलॉक केलेल्या स्थितीवरून लॉक केलेल्या स्थितीत जात असताना मास्टर संकेतशब्दाच्या हाताळणीसह आणि विविध तुटलेल्या अंमलबजावणीच्या तपशीलांद्वारे दुर्दैवाने हे सोडले गेले. मुख्य संकेतशब्द मेमरीमध्ये राहतो.

म्हणूनच, 1 संकेतशब्द मास्टर संकेतशब्द पुनर्प्राप्त केला जाऊ शकतो कारण तो मेमरीवरून मिटविला जात नाही लॉक स्थितीत संकेतशब्द व्यवस्थापक ठेवल्यानंतर.

1 संकेतशब्द (आवृत्ती 7.2.576) घेत आहे, त्यांना आश्चर्य वाटले की ते त्यांना आढळले मागील आवृत्तीमध्ये 1 संकेतशब्दापेक्षा चालविणे हे कमी सुरक्षित आहे डेटाबेसमधील सर्व वैयक्तिक संकेतशब्द क्रॅक झाल्यामुळे ते 1 अनलॉक आणि कॅश्ड होताच डेटाची चाचणी करते, 7 पॅडवर्ड 1 प्रमाणे ज्याने एकाच वेळी फक्त एक नोंद संग्रहित केली आहे.

तसेच आढळले की 1 संकेतशब्द 7 वैयक्तिक संकेतशब्द साफ करीत नाही, अनलॉक केलेल्या स्थितीपासून लॉक केलेल्या स्थितीत जात असताना एकतर मुख्य संकेतशब्द किंवा गुप्त मेमरी की नाही.

त्यानंतर, डॅश्लेन मूल्यांकन मध्ये, प्रक्रिया दर्शविली की वेचा घेण्याचे जोखीम कमी करण्यासाठी मेमरीमध्ये रहस्ये लपविण्यावर लक्ष केंद्रित केले आहे.

याव्यतिरिक्त, जीयूआय आणि मेमरी फ्रेमचा वापर ज्यामुळे विविध ऑपरेटिंग सिस्टम एपीआयमध्ये रहस्ये प्रसारित करण्यास प्रतिबंध केला गेला ते डॅश्लेनसाठी अनन्य होते आणि मालवेयरद्वारे ते लपवून ठेवू शकले.

लिनक्स देखील अपवाद नाही

इतर संकेतशब्द व्यवस्थापकांसारखे नाही, कीपस हा एक मुक्त स्रोत प्रकल्प आहे. 1 पासवर्ड 4 प्रमाणेच, कीपॅस संवाद साधत असल्याच्या एन्ट्री डिक्रिप्ट करतो.

तथापि, ते सर्व स्मरणशक्तीमध्ये राहतात कारण ते प्रत्येक परस्परसंवादानंतर स्वतंत्रपणे मिटवले जात नाहीत. मुख्य संकेतशब्द मेमरीवरून मिटविला गेला आहे आणि पुनर्प्राप्त केला जाऊ शकत नाही.

तथापि, कीपासने मेमरीवरून मिटवून रहस्ये सुरक्षित ठेवण्याचा प्रयत्न करीत असताना, या वर्कफ्लोजमध्ये स्पष्टपणे काही बग्स आढळत आहेत, कारण आम्हाला आढळले आहे की, लॉक केलेल्या अवस्थेतदेखील, आम्ही त्यातून संवाद साधला होता.

कीपॅस लॉक केलेल्या स्थितीत ठेवल्यानंतरही इंटरसेप्ट केलेल्या नोंदी मेमरीमध्ये राहतात.

शेवटी, 1 संकेतशब्द 4 प्रमाणे, जेव्हा अनलॉक फील्डमध्ये प्रवेश केला जातो तेव्हा लास्टपास मास्टर संकेतशब्द लपवते.

एकदा मास्टर संकेतशब्दावरून डिक्रिप्शन की काढली की मास्टर संकेतशब्द "लास्टपास" या वाक्यांशाद्वारे बदलला जाईल.

स्त्रोत: सुरक्षाविषयक