Los administradores de contraseñas se han vuelto casi obligatorios para los usuarios pesados de computadoras que desean mantenerse seguros contra el número cada vez mayor de ataques, pero investigaciones recientes descubrieron una gran vulnerabilidad en cuatro de las aplicaciones más populares de este tipo en Windows 10.
Los evaluadores de seguridad independientes (ISE) realizaron una auditoría de seguridad de 1Password, Dashlane, KeePass y LastPass en Windows 10, y los resultados son preocupantes, por decir lo menos.
Todos ellos mantienen la contraseña maestra en texto sin formato en la memoria de la PC, lo que significa que un pirata informático con acceso a la computadora podría leerla fácilmente y luego tener acceso a todos los datos almacenados en el administrador de contraseñas.
La contraseña maestra es la clave que utilizan los administradores de contraseñas para proteger la aplicación, y los usuarios deben proporcionarla siempre que quieran desbloquearla.
Los investigadores de seguridad descubrieron que esta contraseña maestra permanece en la memoria del dispositivo en texto sin formato, siempre que el administrador de contraseñas esté en un estado bloqueado. Esto significa que el administrador de contraseñas ya se ha iniciado, desbloqueado y luego bloqueado automáticamente por razones de seguridad.
“Al usar una herramienta patentada de ingeniería inversa, los analistas de ISE pudieron evaluar rápidamente el manejo de los secretos de los administradores de contraseñas en su estado bloqueado. "ISE descubrió que la memoria forense estándar se puede usar para extraer la contraseña maestra y los secretos que se supone deben guardar", explican los investigadores.
Lo que es muy importante saber es que leer la contraseña maestra de la memoria de la PC requiere acceso al dispositivo, ya sea físico o remoto.
Además, el informe enfatiza que a pesar del obvio riesgo de seguridad descubierto aquí, los administradores de contraseñas aún se recomiendan porque agregan una capa adicional de protección contra los ataques típicos que dependen de contraseñas débiles.
Si bien se recomienda a los desarrolladores que mejoren la forma en que los administradores de contraseñas sanean la memoria, los usuarios deben evitar mantener a los administradores de contraseñas en un estado bloqueado en su dispositivo. En otras palabras, ejecútelo, obtenga su contraseña y luego ciérrela hasta que necesite otra contraseña nuevamente. Por supuesto, esta no es la solución más conveniente, pero al menos le ayuda a mantenerse protegido hasta que se envíen los arreglos.
Fecha actualización el 2021-02-20. Fecha publicación el 2019-02-20. Categoría: windows Autor: Oscar olg Mapa del sitio Fuente: softpedia