By: lew 
on 6 June 2021 - 13:58
Tags:
Topics:
Tavis Ormandy นักวิจัยความปลอดภัยกูเกิลเขียนบทความวิเคราะห์ความปลอดภัยของปลั๊กอินที่เชื่อมต่อโปรแกรมเก็บรหัสผ่านเข้ากับเบราว์เซอร์เพื่อความสะดวกในการใช้งาน
Travis ระบุว่าปลั๊กอินที่เชื่อมตัวเก็บรหัสผ่านเข้ากับเบราว์เซอร์นั้นมักอาศัยการแก้ไขคอนเทนต์ในตัวเว็บเพื่อแสดงไอคอนและ UI ที่เกี่ยวข้องกับการจัดการรหัสผ่าน จากนั้นตัวโปรแกรมมักสร้างช่องทางพิเศษเพื่อเชื่อมต่อไปยังตัวโปรแกรมจัดการรหัสผ่านนักเบราว์เซอร์ แนวทางเช่นนี้สร้างความเสี่ยงเพราะเว็บที่มุ่งร้ายสามารถใช้ช่องทางนี้เข้าถึงโปรแกรมจัดการรหัสผ่านได้ และสคริปต์ที่ปลั๊กอินใส่เข้าไปในหน้าเว็บก็เปิดทางให้เว็บมุ่งร้ายดัดแปลงสคริปต์มาหลอกผู้ใช้ได้
เขาระบุว่าหากต้องการใช้ตัวจัดการรหัสผ่านสำหรับบริการออนไลน์ในเบราว์เซอร์แล้ว เขาแนะนำให้ใช้ตัวจัดการรหัสผ่านในเบราว์เซอร์เองเลยดีที่สุด เพราะตัวจัดการเหลา่นี้ใช้ UI ของตัวเบราว์เซอร์เองโดยตรง (เช่นแสดงไอคอนในช่อง URL) ปิดโอกาสไม่ให้เว็บมุ่งร้ายพยายามแสดงหน้าจอหลอกผู้ใช้ และลดความเสี่ยงการบุกรุกเครื่อง
ที่มา - cmpxchg8b
Get latest news from Blognone
Follow @twitterapi
Comments
ถ้า bitwarden ที่ไม่ได้ขึ้นเตือนใน UI ก็ไม่น่าจะเสี่ยงตอน auto fill ใช่รึเปล่าหว่า
+1
nord เหรอ
จริงๆ เขาพูดถึงทุกตัวโดยรวม แต่ในบทความใช้ Nord มาวิเคราะห์ยกตัวอย่าง
lewcpe.com, @wasonliw
ไม่แปลก ความสะดวกสบายมากขึ้นมันต้องแลกกะความปลอดภัยที่ลดลงอยู่แล้ว
อ่านแล้วยังงงๆ เพราะไม่เคยใช้ ปกติแล้ว password manager ต่างๆมันก็ส่ง password ของ web นั้นๆแบบอยู่แล้ว ไม่ได้ส่งของเว็บอื่้นให้นี่ ?
ถึงจะเข้าถึง element หรือ ui กรอก password อัตโนมัติ มันก็เป็นของเว็บตัวเองอยู่แล้ว
หรือมันมีช่องโหว่ของ addon ที่ไปดึง password ของเว็บอื่นได้?
หลัก ที่เป็นปัญหาคือ password manager พวกนี้ดัดแปลงสคริปต์ในเว็บไซต์โดยตรงเพื่อแสดงโปรแกรมจัดการรหัสผ่าน ซึ่งเว็บถ้าจะมุ่งร้ายก็สามารถดัดแปลง element ของโปรแกรมจัดการรหัสผ่านเพื่อกระทำการบางอย่างได้ (ไม่จำเป็นต้องเกี่ยวกับการขโมยรหัสผ่าน) เช่น รบกวนการทำงาน, trigger ตัว screenshot ภายในเบราว์เซอร์ หรือถ้าตัวจัดการรหัสผ่าน implement ตัวตรวจสอบแบบ bad practice ก็อาจจะ trigger ให้มันดึงรหัสผ่านจากเว็บจริงมาใส่เว็บปลอมได้ด้วย ประกอบกับตัวจัดการรหัสผ่านจะตรวจสอบการดัดแปลงนี้ได้ยาก
ถ้าพูดแบบนี้ extension ทุกตัวอันตรายหมดล่ะครับ
Researchers เขียนคำแนะนำอวยเครือตัวเองซะด้วย จริงๆ วิธีอิ่นมันก็มี แบบ KeePass ทำอย่าง autotype มันก็ทำได้มั้ยล่ะ
บล็อกส่วนตัวที่อัพเดตตามอารมณ์และความขยัน :P