15 julio 2014

Programas web de gestión de contraseñas: SUSPENSO


Zhiwei Li, Warren He, Devdatta Akhawe y Dawn Song, investigadores de la Universidad de Berkeley (California) han publicado un estudio en el que documentan el análisis de 5 aplicaciones web enfocadas a la gestión de contraseñas centralizadas. Los programas objeto del estudio han sido  los siguientes (seguro que la mayoría os suenan...):
  • LastPass
  • RoboForm
  • My1Login
  • PasswordBox
  • NeedMyPassword
No es la primera vez que se anuncian problemas en este tipo de aplicaciones web, si bien una de las más relevantes fue la que se publicó en Mayo de 2011, cuando nos enteramos a través del blog principal de LastPass de una intrusión de seguridad en su infraestructura, de la cual nos hicimos eco en nuestros enlaces de la SECmana - 70.

Pero en este caso el estudio se ha centrado en la revisión de vulnerabilidades web como son Cross-Site Request Forgery y Cross-Site Scriptings en todas ellas. Además, para cada una de las aplicaciones, se plantean los siguientes vectores de ataque: Bookmarklets, amenazas web, problemas de autorización y vulnerabilidades en la interfaz de usuario. También se le ha dedicado una parte de la investigación a la generación de contraseñas de un solo uso (OTPs) para aquellas aplicaciones que dispongan de dicha funcionalidad.



Listado de aplicaciones web de gestión de contraseñas analizadas


A modo de spoilers, del estudio se concluye que 4 de los 5 productos contienen vulnerabilidades graves que permitirían robar credenciales de un usuario. Debido a que los investigadores creen que la solución de todas las vulnerabilidades no sería única, ya nos anuncian que se han puesto manos a la obra para generar una nueva solución web la cual se desarrollará teniendo en cuenta la seguridad desde el principio en su ciclo de vida, y por diseño.

Una interesante y completa lectura (aquí tenéis el PDF) en el que se le da un buen repaso a estas aplicaciones tan de moda en la actualidad, y a la vez tan peligrosas una vez pudieran ser vulneradas.

14 comments :

53553y dijo...

¿Que programas utilizais vosotros? Yo estaba pensando un Keepass + Yubikey

vistoenlared dijo...

Guardar cualquier dato en la nube te arriesgas que alguien pose sus ojos en el, el problemas es cuando esos datos son tan criticos como contraseñas....

Alexander Aguirre dijo...

Buenisimo esto

Abel Megazero dijo...

Y sobre Firefox Sync (y creo que Chrome también tiene algún servicio similar), se ha hecho alguna auditoría? Personalmente, nunca me han inspirado confianza LastPass y aplicaciones así...

Rotietip dijo...

Para eso es mejor utilizar programas que almacenen las contraseñas en local, y a ser posibles que sean de código abierto, tales como KeePass o los programas que se encuentran aquí.

Alex dijo...

es mejor guardar las contraseñas en un cuaderno que solo tu sepas donde lo guardas...
se puede saber mucho de informatica y de mas, pero como dice el dicho: siempre habra alguien mejor

Barrister Appleton dijo...

¿Está usted en necesidad de un préstamo?
¿Quieres pagar sus cuentas?
¿Quieres ser financieramente estable?
Todo lo que tienes que hacer es ponerse en contacto con nosotros para más información sobre cómo llegar
comenzado y obtener el préstamo que usted desea.
Esta oferta está abierta a todo lo que será capaz de pagar de nuevo a su debido tiempo.
Nota-ese plazo de amortización es negociable y en la tasa de interés de
3%.

Se espera que nos informe de la cantidad del préstamo exacta solicitada con el fin de
Permitimos a proporcionarle las condiciones del préstamo. si usted es
interesado en la obtención de préstamos de nuestra firma.
Por favor, completar el formulario de solicitud corto dada abajo y nosotros
prometido ayudarle en cualquier necesidad financiera que usted está en
FORMULARIO DE SOLICITUD DE PRÉSTAMO {} FORMA EN LINEA

1) SU NOMBRE ...................
2) ............... SU PAÍS.
3) Profesión .............
4) SU ESTADO CIVIL .........
5) NÚMERO DE TELÉFONO ................
6) INGRESO MENSUAL ............ ..
7) DIRECCIÓN .....................
8) PROPÓSITO DEL PRÉSTAMO .............
9) SOLICITUD DE PRÉSTAMO ................
10) DURACIÓN DEL PRÉSTAMO ..................
¿Está usted en necesidad de un préstamo?
Correo electrónico de contacto: kevinappletonloanfirm@outlook.com

ENLACE Finance Limited
GRACIAS,
Barrister Kevin Appleton

Jask dijo...

Mejor quita el cable de red y ya no te tienes que preocupar por las contraseñas, porque tampoco vas a tener internet. No creo que esa sea una medida a tener en cuenta pero cada uno sabrá ...

Dr Benson dijo...

Estimado Solicitante,

Te invitamos a la compañía de préstamo de día de pago Plc, donde todas las necesidades financieras se ponen a Satisfaction.Are ¿Buscas un préstamos para poner en marcha un negocio o si usted tiene un préstamo para pagar sus cuentas aquí es una oportunidad para que usted consiga un nuevo préstamo

Póngase en contacto con nosotros a través de accesspennyfn@gmail.com para más información

Espero respuesta

Dr. Benson

compañías de financiamiento de préstamos

CEO / MD

Raymond williams dijo...

Welcome to FARGO Loan Company, This is a vibrant loan Company in the heart of USA, formed to help individuals who are in need of financial crises and help them achieve their goals in life.

Available Loans we offer are,

1. Personal Loans (Secure and Unsecured)
2. Business Loans (Secure and Unsecured)
3. Combination Loan
4. Consolidation Loan And Many More:

Interested clients should please send request to our email for application form and terms Try and see your self, for our wonderful services that does not exceed Working days for loan processing and just only (1)hour 35 minutes of loan Transfer.

EMAIL US---[ fargofinancialfirm@gmail.com ]
......
Warm Regard

PAY DAY dijo...

Mi novio me dejó hace una semana después de lo acusé de ver a alguien más y insultarlo. Lo quiero de vuelta en mi vida, pero se niegan a tener ningún contacto conmigo. Estaba tan confundo y no sé qué hacer, así que llego a la internet en busca de ayuda y vi un testimonio de cómo un lanzador de hechizos les ayudan a conseguir su ex parte posterior, así que póngase en contacto con el lanzador de hechizos y explicar mi problema con él y él lanzó un hechizo para mí y me aseguro de 2 días que mi ex volverá a mí y para mi mayor sorpresa, el segundo día de mi ex vino a llamar a mi puerta y pedir perdón. Estoy tan feliz de que mi amor está de vuelta otra vez y no sólo eso, estamos a punto de casarse. Una vez más gracias DR IVIE hechizo. Usted es verdaderamente talentosos y dotados. Email: drivieidumota@gmail.com es la única respuesta. Él puede ser de gran ayuda y no voy a dejar de publicar él porque él es un hombre maravilloso .....
él puede resolver el siguiente ......
(1) Si usted quiere que su ex atrás.
(2) si usted siempre tiene pesadillas.
(3) ¿Quieres ser promovido en su oficina.
(4) ¿Quieres mujeres / hombres que corren detrás de usted.
(5) Si usted quiere un hijo.
(6) ¿Quieres ser rico.
(7) ¿Quieres atar su esposo / esposa sea
el suyo para siempre.
(8) Si necesita ayuda financiera.
(9) La atención a base de plantas
(10) Si usted puede ser capaz de satisfacer a su esposa
deseo sexual debido
a menor erraction.
(11) si su menstruación se niegan a venir
el día
suponer o más flujos.
(12) si su trabajo se niegan a pagar sus personas,
debido usted ?.
(13) resolver un problema de la tierra y recuperarla.
(14) ¿Su familia Denny usted de su
¿verdad?
(15) Que la gente obedece mis palabras y hacer mi
que.
(16) ¿Tiene un bajo conteo de esperma?
(17) desventuras
(18) curar el VIH

PAY DAY dijo...

Mi nombre es otoño Morgan, de Canadá deseo compartir mis testimonios con el público en general acerca de lo que este hombre llamado Dr. Mako, sólo ha hecho por mí, este hombre acaba de traer de vuelta a mi marido perdido Ex a mí con su gran hechizo dentro de 48 horas . Me casé con mi marido alanos Evans, estuvimos juntos durante mucho tiempo y nos encantó nuestra auto de pero cuando yo era incapaz de darle un hijo de 2 años que me fui y me dijo que no puede seguir ya entonces estaba ahora buscando la manera de traerlo de vuelta hasta que un amigo mío me dijo acerca de este hombre y le dio a su correo electrónico de contacto: kakutaspellz@gmail.com entonces no va a creer esto cuando entré en contacto con este hombre en mis problemas se prepara lanzar un hechizo muy fuerte para mí y traer a mi marido perdido volver dentro de 48 horas, y después de un mes que se pierda mi período mensual y se fue para una prueba y el resultado mostró que yo estaba embarazada. Hoy estoy feliz soy una madre de una niña, gracias una vez más el gran Dr. Mako por lo que has hecho por me.if que está por ahí de paso por cualquiera de estos problemas o tener problema del VIH en su vida, en contacto con él por ayuda, su correo electrónico privado: kakutaspellz@gmail.com

CARLOS PEREZ dijo...

Quiero dar las gracias a Dios por el uso de DR Idumota como mi fuente de salvación después de 2 años de desempleo y mi amante me dejó solo durante 2 años, el corazón roto sólo hasta que se reunió después drivieidumota@gmail.com señoras testimonio de cómo fue ayudado por el mismo DR. Idumota, por lo que decidió ponerse en contacto con él y cuando le dije que todos mis problemas se rió y dijo que esto no es un problema. todo va a estar bien en tres días. Exactamente en el tercer día de mi ex amante llamada yo me sorprendí y lo que me sorprendió fue que una empresa aplica por más de cuatro meses llamado y me dijo que debía volver al trabajo tan pronto como possible.Am muy agradecido a DR. Idumota, si desea ponerse en contacto con él, su correo electrónico es (drivieidumota@gmail.com) hace que el hechizo de la siguiente manera
(1) Si usted quiere que su ex atrás.
(2) que necesita un divorcio en su relación
(3) ¿Quieres ser promovido en su oficina.
(4) ¿Quieres que los hombres y las mujeres correr detrás de usted.
(5) Si usted quiere un hijo.
(6) ¿Quieres ser rico.
(7) ¿Quieres atar su marido y la mujer a ser tuyo para siempre.
(8) Si necesita ayuda financiera.
(9) Cuidado Herbal Contacto él hoy
(drivieidumota@gmail.com) Ser juez pecado útil enfatizar Hoy

Tina Coka dijo...

¿Necesita un préstamo que damos préstamos a baja tasa de interés del 2% Damos préstamos a cualquier estábamos en la palabra Si está interesado, póngase en contacto con nosotros a través del correo electrónico: tinacoka@outlook.com para más información