URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 110581
[ Назад ]
Исходное сообщение
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено opennews , 02-Мрт-17 08:50 
Исследователи из группы TeamSIK опубликовали (https://team-sik.org/trent_portfolio/password-manager-apps/) результаты проверки безопасности менеджеров паролей для платформы Android. Результаты оказались не лучше, чем при анализе (https://www.opennet.me/opennews/art.shtml?num=45940) VPN-приложений для Android - в 9 менеджерах паролей выявлены серьёзные уязвимости, позволяющие получить доступ к закрытой информации. В том числе в некоторых приложениях мастер-пароль был доступен для извлечения, пароли хранились в открытом виде или не была обеспечена должная защита хранилища. Также отмечается достаточно длительный срок устранения выявленных проблем - о большинстве уязвимостей разработчикам было сообщено ещё осенью прошлого года, а исправления были выпущены лишь спустя несколько месяцев.

Наиболее интересные проблемы:

-  MyPasswords (https://play.google.com/store/apps/details?id=com.er.mo.apps...) - возможность чтения закрытых данных и дешифрования мастер-пароля;

-  Informaticore/Mirsoft Password Manager (https://play.google.com/store/apps/details?id=com.mirsoft.pa...) - небезопасное (https://team-sik.org/sik-2016-021/) хранение учётных записей, ключ для доступа к мастер-паролю был вшит в код приложения;

-  LastPass Password Manager (https://play.google.com/store/apps/details?id=com.lastpass.l...) - вшитый фиксированный универсальный ключ доступа, утечка данных через функцию поиска и возможность извлечения мастер пароля;

-  Keeper Passwort-Manager (https://play.google.com/store/apps/details?id=com.fsecure.key) - возможность обхода контрольного вопроса и возможность подстановки данных в защищённое хранилище без ввода мастер-пароля;

-  F-Secure KEY Password Manager (https://play.google.com/store/apps/details?id=com.dashlane) - небезопасное хранение учётных записей, хранение мастер-пароля в открытом виде;


-  Dashlane Password Manager (https://play.google.com/store/apps/details?id=com.dashlane) - возможность чтения закрытых данных из каталога приложения, возможность извлечения мастер-пароля и утечка паролей для поддоменов;
-  Hide Pictures Keep Safe Vault (https://play.google.com/store/apps/details?id=com.kii.safe) - хранение паролей в открытом виде;

-  Avast Passwords (https://play.google.com/store/apps/details?id=com.avast.andr...) - получение информации о паролях через из утечку при автозаполнении форм, обращение к типовым страницам входа популярных сайтов без шифрвания по HTTP, передача данных на внешний бэкенд по HTTP;

-  1Password (https://play.google.com/store/apps/details?id=com.agilebits....) - возможность чтения закрытых данных из каталога приложения, вход по умолчанию по HTTP, хранение заголовков и URL без шифрования, утечка паролей для поддоменов.

URL: https://team-sik.org/trent_portfolio/password-manager-apps/
Новость: http://www.opennet.me/opennews/art.shtml?num=46121

Содержание
Сообщения в этом обсуждении
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 08:50 
Сапожники без сапог. Тоже самое с антивирусами. Из свежего: http://seclists.org/fulldisclosure/2017/Feb/68 "Remote Code Execution as Root via ESET Endpoint Antivirus 6"
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 08:55 
Шикарно:
MyPasswords
SIK-2016-043: Free Premium Features Unlock for My Passwords
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 09:08 
Это не то, что можно подумать: "The free application from the google play store can be upgraded to a premium version with additional features. An implementation flaw allows the user directly to upgrade the app without paying."
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено iv , 02-Мрт-17 09:18 
По ссылке только проблемные приложения. А что нибудь нормально работающее они нашли?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено A.Stahl , 02-Мрт-17 09:38 
Хранение секретных данных это целая наука и сложно ожидать глубоких знаний от разработчиков андроид-приложений для домохозяек. Тут логичней воспользоваться чем-то таким (https://play.google.com/store/apps/details?id=tk.asciigames....), что в принципе пароли не хранит, а просто делает их более удобными для запоминания человеком.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Iaaa , 02-Мрт-17 13:12 
Фигня.

Например, первый из паролей со скрина - DutyZad3 - легко брутфорсится по словарю.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено A.Stahl , 02-Мрт-17 13:19 
Ну-у-у... Легко, значит, брутфорсится? Ну если ты так говоришь...
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аномномномнимус , 02-Мрт-17 18:18 
Все столь короткие пароли прекрасно брутфорсятся. Нормальная длина - хотя бы 16 знаков, лучше 20.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено я , 02-Мрт-17 22:15 
Это смотря что брутфорсить. Если сетевой сервис - здесь, пожалуй, опасны только словарные пароли + некоторые видоизменения оных, да и вряд ли кому в здравом уме захочется перебирать таким образом тысячи паролей. А с хэшами при современной производительности GPU и 15-символьный alphanumeric mixed-case может не спасти. Я бы сказал, что DutyZad3 всё-таки хороший пароль - далеко не словарный и легко запоминается/вводится.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 03-Мрт-17 19:40 
> брутфорсится по словарю

Вот потому, Iaaa, что некторые даже не отличают брутфорс от перебора по словарю,
и имеем проблемы с безопасностью

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 10:53 
https://play.google.com/store/apps/details?id=com.android.ke...
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 15:42 
Навались дружнее, чо так мало минусов?

Для недалёких поясню: open source, поддерживает базу Keepassx, пароли вычищаются из буфера через таймаут или сразу после использования. Найдите надёжнее, вперёд.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено BlackRaven86 , 02-Мрт-17 16:42 
Хороший, сам им пользуюсь. Совместимость с десктопным KeePassX очень помогает.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено fi , 02-Мрт-17 16:50 
тоже удивлен что его нет в анализе.

И кажись GPL-ый

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Andrey Mitrofanov , 02-Мрт-17 16:56 
#>>play.google.com/store/apps/
> И кажись GPL-ый

Креститься https://f-droid.org/repository/browse/?fdid=com.android.keepass надо.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено h31 , 03-Мрт-17 02:26 
Мне больше этот вариант нравится:
https://play.google.com/store/apps/details?id=keepass2androi...
У него общая кодовая база с десктопным приложением, внушает некоторое доверие.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Andrey Mitrofanov , 03-Мрт-17 09:08 
>play.google
>?id=keepass2android.keepass2android
> У него общая кодовая база с десктопным приложением,

Keeoass2 на mono. Этот _тоже_?? ...Мигель-то -- молодецЬ.

>внушает некоторое доверие.

Та. Ты Чо!?

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 03-Мрт-17 10:13 
Это та кодовая база, которая без VCS пишется?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено romanegunkov , 03-Мрт-17 03:13 
Надёжное это которое использует scrypt с параметрами не ниже рекомендуемых, полностью офлайн и когда ни пароли ни контрольное слово не из словаря. Никакой брутфорс не пробьет. Точно было такое приложение, то по-моему не в гуглплее.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Mohn , 02-Мрт-17 09:21 
А как насчет KeepassDroid?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 09:50 
http://fc13.ifca.ai/proc/4-2.pdf
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аномномномнимус , 02-Мрт-17 10:39 
Какая-то длинная портянка на языке потенциального противника, в которой мылятся основы, не дочитал. А по сути есть что?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено A.Stahl , 02-Мрт-17 10:47 
>на языке потенциального противника

Божежтыжмой... У-х-х-х...
>А по сути есть что?

Водка подешевела.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аномномномнимус , 02-Мрт-17 10:57 
> Водка подешевела.

Хорошо тебе...

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 12:11 
>Водка подешевела.

Для тебя это основной смысл жизни?

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Andrey Mitrofanov , 02-Мрт-17 14:23 
>>Водка подешевела.

Для вас и это длинн, я поясню.

> Для тебя это основной смысл жизни?

Нет, для вас, которым "слишком длинно и фчём смысл", и которые не могут в глум над ними, такими незатуманенными-незатуманенными.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аномномномнимус , 02-Мрт-17 18:39 
В глум он может... Ржу. У тебя и остальных просто бомбануло от одной старой фразы. У вас таких "проДвинутых" всегда с неё бомбит. И вы всегда не даёте прямых ответов на заданные в начале ветви вопросы, только посылаете на левые ссылки, на давно протухшие документы с презентацией некоего мифического USecPassBoard, как панацеи от всех бед.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Ordu , 03-Мрт-17 10:07 
> бомбануло от одной старой фразы.

Ах вот как ты видишь ситуацию... лол.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 12:22 
Не читал, но название уже наводит на мысль, что не про то тут. Keepass отчищает буфер-обмена, если что.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 19:14 
https://f-droid.org/repository/browse/?fdid=com.android.keepass
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 09:28 
LastPass дыряв "by design", сколько там дыр не находи, они всё равно на одни грабли продолжают наступать - https://lastpass.com/support.php/support.php?cmd=showfaq&id=...
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено dimqua , 02-Мрт-17 09:32 
Нашли чего тестить. Да кому нужна эта проприетарщина?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено сисястая_тян , 02-Мрт-17 09:46 
ретрошаровцы, поди, телефонами вообще не пользуются. :)
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено chinarulezzz , 05-Мрт-17 15:00 
нужна для пиара.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 09:37 
Мда, KeepSafe - 10 млн установок, у остальных от миллиона до пяти. И гады, как в описаниях ярко себя преподносят  bank-level, military-grade.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено adminlocalhost , 02-Мрт-17 09:39 
А что они должны писать в описаниях себя?  "мы дырявое сито"?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 09:53 
И зачем все эти софтины без совместимости с keepass bd нужны? Интересно, у них до весьма популярного Keepass2android руки не дошли или с ним всё в порядке?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 10:08 
уж сколько раз твердили миру: не устанавливайте крап из google play
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено A.Stahl , 02-Мрт-17 10:17 
Предлагаешь устанавливать его из файлопомоек с apk-шками?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Проходямимо , 02-Мрт-17 10:50 
F-Droid. А конкретно KeePassDroid или как там...
p.s. смотрю ты активизировался. весна приходит?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено A.Stahl , 02-Мрт-17 10:56 
>F-Droid.

А какая же божественная десница не пускает в F-Droid халтуру? М?

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 12:25 
>>F-Droid.
> А какая же божественная десница не пускает в F-Droid халтуру? М?

Такая, что там сначала обсуждают на форуме, что туда пускать. Некоторый хороший софт из-за этих обсуждений там годами может не появляться. После длительной дискусии и пары сотен патчей софтину всё же добавят (может быть). Это вам не помойка гугла.

"Ох. KeePassDroid."
Отправлено diggya , 02-Мрт-17 13:49 
Баян. Приложение, тырящее буфер обмена забирает себе все пароли. Все приложения паролей, работающие через буфер обмена, убыточны. Как решение есть челы, имулирующие клавиатуру, с двумя кнопками - ввести логин, ввести пароль.
"Ох. KeePassDroid."
Отправлено Аноним , 02-Мрт-17 19:19 
Расскажите как можно использовать без буфера обмена?
Запомнить пасс в 20 символов на каждый профиль?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 10:14 
Приложения для обеспечения секретности должны быть с открытым кодом - необходимое условие. Это должно восприниматься как Отче наш.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Ordu , 03-Мрт-17 10:09 
> Это должно восприниматься как Отче наш.

Приступ неудержимой рвоты.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено яя , 02-Мрт-17 10:15 
умные клавиатуры на смартфонах могут отправлять все, что было введену кому-то неизвестному в интернете. какой смысл хранить все пароли в закрытом хранилище, если они в сеть могут слиться еще на стадии ввода в БД?
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 10:44 
фаерволом им запретить лезть туда
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено ryoken , 02-Мрт-17 10:27 
Вкратце: На ведроиде безопасности нет или нужен напильник. (Всякие там альтернативные прошивки + вдумчивое копание по специализированным ресурсам).
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 10:31 
Да почти все дырявы: передают пароль через буфер обмена вместо использования accessibility api.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 10:58 
Пишут, что

> !! Update 2017-03-01: All reported vulnerabilities are fixed by the vendors !!

Через полгода после репортов пофиксили.

Я, честно, удивлен, что кто-то использует какие-то менеджеры паролей, кроме KeePassDroid . Официальный play - помойка, конечно. Не уважаю большинство разработчиков под андроид совершенно

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 11:37 
На фоне изученных в отчёте дополнений с миллионами активных установок, KeePassDroid имеет достаточно скромную аудиторию. По звёздочкам,  KeePassDroid имеет примерно тот же рейтинг.

Т.е. для пользователя нет никаких индикаторов, что KeePassDroid лучше. Описания и заявленные характеристики примерно одинаковы. Посмотрят у кого больше установок и поставят дырявые из списка :-(

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено mumu , 02-Мрт-17 11:42 
Интерфейс и юзабилити у него на уровне первых андроидов. Он где-то там так и остался.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 15:45 
Я сам за юзабилити. Но то что вы и вам подобные называеют этим словом - я называю "вылизанные яйца", и занимаются этим коты-корпорации, абы что делать, лишь бы оправдать штат гуманитариев с обостренным чувством "прекрасного"
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 11:53 
Видимо, расчет на шифрование всего устройства. Менеджерпаролей - прога чтоб пароли не вводить =)
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 11:57 
SafeInCloud наше всё!
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Антон , 02-Мрт-17 13:24 
А он с открытым кодом?
Довольно интересный вариант, но как убедиться что ему можно доверять.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 12:17 
Всё, что попадает в руки комерсантов превращается в тыкву.
главное красивая обёртка, а что там под капотом пофиг, хомячки купят и схавают, серотонин вырабатывается.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено vantoo , 02-Мрт-17 12:28 
За LastPass особенно обидно. А я ему доверял. Хоть и не самые важные пароли, но всякие регистрации на сайтиках.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Алексей , 02-Мрт-17 14:18 
password store (который работает с "pass: the standard unix password manager") синхронизируется через свой git сервер, и шифрует с запороленным PGP

хотя для обычного юзера это весьма "легко" ;-)

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Антон , 02-Мрт-17 14:27 
> password store (который работает с "pass: the standard unix password manager") синхронизируется
> через свой git сервер, и шифрует с запороленным PGP
> хотя для обычного юзера это весьма "легко" ;-)

наверно очень удобно использовать его в андроид-телефоне.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Алексей , 02-Мрт-17 14:39 
после тщательной настройки, все вполне юзабильно.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 15:25 
ccrypt на гугель драйв а пароль 25 знаков в бумажном блокноте тока, какой олень хранит пароли на компе
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Andrey Mitrofanov , 02-Мрт-17 16:29 
> ccrypt на гугель драйв а пароль 25 знаков в бумажном блокноте тока,
> какой олень хранит пароли на компе

Вы шифрование свопа и тмп забылЪ. И тмпфс-а. И ту опцию в глибц-е с очисткой памяти. И...

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено НяшМяш , 02-Мрт-17 18:07 
В конце - киянкой по голове для амнезии, чтобы даже под пытками свой пароль никому не сообщил.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 20:43 
Интересно по 1Password. Эти его уязвимости только андроид-версии касаются? Его вебкой вообще не пользуюсь. У меня есть только iOS приложение и Windows stand-alone(не веб-морда!) версия.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 02-Мрт-17 23:24 
Копирование паролей через буфер обмена действительно небезопасно by design. Я придумал альтернативный вариант: cделать KeePassDroid клавиатурным приложением: нужно ввести пароль - переключил тип клавиатуры, разлочил базу, выбрал запись - оно ввело пароль и переключило клавиатуру обратно на нормальну.

Feature request на гитхабе: https://github.com/bpellin/keepassdroid/issues/188. Если у кого-нибудь есть мысли по этому поводу - добро пожаловать в обсуждение.

"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 03-Мрт-17 06:14 
В keepass2android уже есть.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 03-Мрт-17 07:05 
По названию ждал howto.
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено 123 , 03-Мрт-17 07:36 
Кулхацкеры в треде.
Ждут когда им сделают пошаговый мануал с картинками "Как украсть пароли в андроид"
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено DmA , 03-Мрт-17 17:36 
кто-то считает Андроиды хоть сколько нибудь безопасными? По моему  к 4/5 всех работающих в мире Андроид устройств не выходили никакие обновления! А уж про настройки и закрытости прошивок и напичканности в этих прошивках всяких недокументированных свойств я вообще молчу. На текуoий момент можно считать, что нет никакой безопасности в сотовой связи, рядом она там даже не стояла!
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Виталий , 03-Мрт-17 20:53 
KeePassDroid (KeePass-compatible password safe) - https://f-droid.org/app/com.android.keepass
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Аноним , 08-Мрт-17 13:51 
Что не делают люди лишь бы не использовать PasswdSafe...
"Небезопасное хранение данных в менеджерах паролей для платфо..."
Отправлено Pavel , 13-Мрт-17 16:00 
По LastPass почитал конкретику - не так всё и плохо. Да если поставил галочку сохранять мастер-пароль (суицид по определению) то его потом можно расшифровать, плюс проблемы с браузером встроенным в LastPass (для меня сюрприз что он там вообще есть!) В принципе не смертельно, но баг конечно довольно детский.