Η λειτουργία αυτόματης συμπλήρωσης του Bitwarden αποτελεί σοβαρό κίνδυνο για την ασφάλεια, καθώς κακόβουλα iframes που τοποθετούνται σε αξιόπιστους ιστότοπους μπορούν να αποκτήσουν πρόσβαση στα διαπιστευτήρια του χρήστη και να τα στείλουν σε έναν εισβολέα.
Δείτε επίσης: Google ads phishing επίθεση στοχεύει χρήστες Bitwarden
Οι αναλυτές της Flashpoint έφεραν το θέμα στην επιφάνεια, σημειώνοντας ότι η Bitwarden είχε εντοπίσει το πρόβλημα από το 2018, αλλά αποφάσισε να το συνεχσει λόγω της πιθανής ευεργετικής χρήσης των iframes σε νόμιμους ιστότοπους.
Παρόλο που η λειτουργία αυτόματης συμπλήρωσης είναι απενεργοποιημένη στο Bitwarden από προεπιλογή και υπάρχουν λίγες περιστάσεις κατάλληλες για εκμετάλλευση, το Flashpoint ισχυρίζεται ότι ορισμένοι ιστότοποι εξακολουθούν να πληρούν αυτές τις απαιτήσεις. Κατά συνέπεια, κακόβουλοι επιτιθέμενοι μπορούν να προσπαθήσουν να εκμεταλλευτούν αυτή την ευπάθεια.
Το Bitwarden είναι μια εξαιρετικά περιζήτητη υπηρεσία διαχείρισης κωδικών πρόσβασης ανοικτού κώδικα, με ενσωματωμένη επέκταση προγράμματος περιήγησης ιστού, η οποία αποθηκεύει με ασφάλεια εμπιστευτικά δεδομένα, συμπεριλαμβανομένων των ονομάτων χρήστη και των κωδικών πρόσβασης λογαριασμών, στο κρυπτογραφημένο θησαυροφυλάκιό της.
Κάθε φορά που οι χρήστες της επισκέπτονται έναν ιστότοπο, η επέκταση έχει την ικανότητα να εντοπίζει αν υπάρχει αποθηκευμένη σύνδεση λογαριασμού για τον συγκεκριμένο τομέα και κατά συνέπεια, παρέχει αυτόματα τα διαπιστευτήρια. Μόλις ενεργοποιηθεί η επιλογή αυτόματης συμπλήρωσης, οι σελίδες φορτώνονται γρήγορα και χωρίς κόπο με πληροφορίες που έχουν ήδη συμπληρωθεί για τους χρήστες – δεν απαιτείται καμία επιπλέον προσπάθεια!
Αφού ερεύνησαν τα χαρακτηριστικά του Bitwarden, οι ερευνητές του Flashpoint έκαναν μια εκπληκτική αποκάλυψη: Η επέκταση του προγράμματος περιήγησης συμπληρώνει αυτόματα όχι μόνο τις τυπικές φόρμες αλλά και εκείνες που είναι ενσωματωμένες σε iframes από εξωτερικούς τομείς.
Μέσω της έρευνάς της, η Flashpoint ανακάλυψε ότι η χρήση των iframes σε ιστότοπους υψηλής επισκεψιμότητας ήταν ένα σπάνιο φαινόμενο. Κατά συνέπεια, αυτό μείωσε δραστικά τους πιθανούς κινδύνους που σχετίζονται με αυτές τις δραστηριότητες.
Δείτε ακόμα: Τα καλύτερα δωρεάν media player apps για Windows
Το Flashpoint ανακάλυψε επίσης ένα άλλο πρόβλημα κατά την έρευνα του θέματος των iframes – το Bitwarden μπορεί να συμπληρώσει αυτόματα τα διαπιστευτήρια σύνδεσης σε οποιονδήποτε από τους υποτομείς του κύριου τομέα!
Εάν ένας επιτιθέμενος είναι σε θέση να δημιουργήσει μια σελίδα phishing που ταιριάζει με την αποθηκευμένη σύνδεση ενός συγκεκριμένου βασικού τομέα, θα είναι σε θέση να συλλάβει με επιτυχία οποιαδήποτε διαπιστευτήρια που εισάγονται όταν η αυτόματη συμπλήρωση είναι ενεργοποιημένη από τα ανυποψίαστα θύματα.
Μπορεί να μην είναι εφικτή η καταχώριση ενός υποτομέα που είναι πανομοιότυπος με τον βασικό τομέα ενός νόμιμου ιστότοπου, μειώνοντας έτσι τη σοβαρότητα αυτού του ζητήματος.
Ωστόσο, ορισμένες πλατφόρμες επιτρέπουν στους χρήστες να δημιουργούν υποτομείς με σκοπό τη φιλοξενία υλικού, όπως οι δωρεάν υπηρεσίες φιλοξενίας. Είναι ανησυχητικό ότι η πειρατεία υποτομέων εξακολουθεί να είναι εφικτή ακόμη και με αυτές τις υπηρεσίες.
Το Bitwarden τονίζει ότι η λειτουργία αυτόματης συμπλήρωσης αποτελεί πιθανή απειλή για την ασφάλεια και μάλιστα περιλαμβάνει ρητή προειδοποίηση στην τεκμηρίωσή του, τονίζοντας ιδιαίτερα πόσο ευάλωτο σας καθιστά σε ιστότοπους που κάνουν κατάχρηση της λειτουργίας για κλοπή διαπιστευτηρίων.
Ο κίνδυνος ασφαλείας αποκαλύφθηκε για πρώτη φορά τον Νοέμβριο του 2018, και η Bitwarden τον γνωρίζει από τότε.
Παρά τις συνέπειες για την ασφάλεια που έχει η ανάγκη σύνδεσης των χρηστών σε υπηρεσίες με ενσωματωμένα iframes από εξωτερικούς τομείς, οι μηχανικοί της Bitwarden επέλεξαν να διατηρήσουν αυτή τη συμπεριφορά και να δημοσιεύσουν μια προειδοποίηση τόσο στην τεκμηρίωση του λογισμικού τους όσο και στο σχετικό μενού ρυθμίσεων.
Δείτε επίσης: Telegram v9.4: Μετάφραση ολόκληρων συνομιλιών και άλλα νέα χαρακτηριστικά
Συνολικά, τα iframes είναι ένα ισχυρό εργαλείο τόσο για τους προγραμματιστές ιστού όσο και για τους εμπόρους. Επιτρέπουν την ενσωμάτωση εξωτερικών πληροφοριών, όπως εικόνες και βίντεο, σε σελίδες χωρίς να διαταράσσουν τα υπάρχοντα σχέδια ή διατάξεις. Επιπλέον, δίνουν τη δυνατότητα στους χρήστες να περιηγηθούν μεταξύ διαφορετικών ιστότοπων παραμένοντας στην ίδια σελίδα, καθιστώντας ευκολότερη από ποτέ την εύρεση σχετικών πληροφοριών γρήγορα και εύκολα χωρίς να χρειάζεται να εγκαταλείψουν εντελώς τον ιστότοπο.
