研究发现主流云密码管理器存在25种密码恢复攻击

一项新研究发现，包括Bitwarden、Dashlane和LastPass在内的多个云密码管理器在特定条件下容易受到密码恢复攻击。

研究人员Matteo Scarlata、Giovanni Torrisi、Matilda Backendal和Kenneth G. Paterson表示："这些攻击的严重程度从完整性违规到完全破坏组织中的所有保险库不等。" "大多数攻击都允许恢复密码。"

值得注意的是，根据苏黎世联邦理工学院和意大利瑞士大学的研究，威胁行为者假设存在一个恶意服务器，旨在检查这三种解决方案的零知识加密（ZKE）承诺。

ZKE是一种加密技术，允许一方向另一方证明其知道某个秘密，而实际上并不透露该秘密本身。ZKE与端到端加密（E2EE）也有所不同。虽然E2EE指的是一种保护通信安全的方法，使只有通信双方能够访问内容，但ZKE专注于在不透露信息本身的情况下证明知识。

研究人员发现，这些密码管理器在实现零知识架构时存在漏洞，恶意服务器可以利用这些漏洞来恢复用户密码。攻击主要利用了密码管理器在密码恢复过程中对加密密钥的处理方式。

在Bitwarden中，研究人员发现了9种不同的攻击方式，包括可以恢复主密码的攻击。在Dashlane中发现了10种攻击，LastPass中有6种。这些攻击利用了各种加密弱点，包括不正确的密钥派生、验证逻辑缺陷以及客户端-服务器通信中的漏洞。

研究人员已经与这些供应商合作修复了这些漏洞。Bitwarden和Dashlane已经发布了补丁，LastPass也在进行修复。然而，这项研究强调了即使是声称使用零知识架构的密码管理器也可能存在实现缺陷，用户应该保持警惕。

这项研究对依赖密码管理器的个人和组织具有重要影响。虽然密码管理器仍然比重复使用密码或弱密码更安全，但用户应该意识到这些工具并非绝对安全，应该选择信誉良好的供应商并保持软件更新。