共收录 5 条相关安全情报。
← 返回所有主题本文研究了针对密码管理器的注入攻击。攻击者仅控制自己的应用客户端，通过共享凭证等方式向受害者客户端“注入”精心构造的载荷，并与对某种受保护状态（如加密的保险库导出文件或应用服务器收到的网络流量）的观察交错进行，从而从中推断出机密信息。作者在主流密码管理器中发现了一系列通用设计模式，这些模式导致了允许攻击者高效恢复密码、URL、用户名和附件的漏洞。他们开发了通用攻击模板来利用这些设计模式，并通过分析十款不同的密码管理器应用，实验证明了其实际有效性。这些发现已披露给相关厂商，其中许多已部署缓解措施。该研究揭示了密码管理器在共享凭证场景下的信息泄露风险，为安全设计提供了重要参考。
💡 推荐理由: 密码管理器被广泛用于保护用户凭证，但本文展示了一种新型注入攻击，可绕过加密机制泄露敏感信息，值得安全社区关注。
🎯 建议动作: 研究跟进
密码管理器被广泛用于生成和存储高强度密码，其内置的“受损凭证检查”功能允许用户在不泄露明文密码的前提下，检查自己的密码是否出现在已知的数据泄露中。然而，这类服务本身可能成为攻击面。本文提出了一类新型攻击——凭证提取攻击，攻击者通过控制受损凭证检查服务（例如作为中间人或恶意服务提供商），利用该服务返回的匹配结果或响应时间侧信道，逐步推断并最终提取用户的明文密码或哈希值。作者首先系统化地分析了主流密码管理器实现中检查协议的弱点，发现部分服务仅对匹配条目返回不同长度的响应，或采用易区分的错误码，这使得攻击者能够通过少量查询（例如几十次）精确还原密码。进一步，作者设计了一种基于二分搜索和频率分析的优化算法，在真实密码泄露数据集上评估了攻击效率：对于Google Password Manager、Bitwarden等流行产品，攻击成功率超过90%，平均提取一个密码仅需约50次查询。本文还讨论了潜在的防御措施，包括恒定时间响应、盲化查询、差分隐私噪声等，并实验验证了某些修补方案的有效性。该研究揭示了密码管理器生态中一个被忽视的安全风险，对安全社区设计更健壮的凭证检查协议具有重要警示意义。
💡 推荐理由: 密码管理器的受损凭证检查功能本意是提升用户安全性，但本文揭示其实现漏洞可被利用来窃取用户密码，直接影响数百万用户，且攻击成本低、危害大，安全从业者需重视此类侧信道与服务逻辑缺陷。
🎯 建议动作: 研究跟进
该研究聚焦于密码管理器中的“助推”（nudge）设计对用户密码强度的影响。密码管理器通常内置密码生成器，但用户往往忽略或修改生成的强密码，选择自己记忆的弱口令。研究者设计并实施了一项在线用户实验（N=540），比较了四种不同的默认设置与助推方式：(1) 空白密码字段（用户需自行输入或生成）；(2) 预先填充随机生成的强密码（Simple Default）；(3) 预先填充弱密码并附加强度提示；以及(4) 交互式“密码强度计”与建议。结果显示，最简单的默认方案——预先填充随机生成的强密码——显著提高了最终密码的熵值，且用户几乎不更改该默认值。相比之下，提供弱密码并提示更改的方案效果最差，因为用户倾向于保留任何默认值。研究还发现，明确的文本助推（如“建议使用强密码”）若与复杂交互结合可能适得其反。论文贡献在于：识别出“默认值惰性”是人机交互中的关键心理偏差；为密码管理器设计提供了明确的证据——强预设比任何后续助推更有效；并建议开发者将生成强密码作为默认行为，而非事后提醒。该研究适合密码管理器产品团队、安全UX设计师以及行为安全研究者阅读。
💡 推荐理由: 密码管理器已成为用户管理凭证的核心工具，但默认设计不当会导致用户持续使用弱密码。该研究用实验证据指出：最简单的默认填充强密码策略远胜于复杂的助推技术，为安全产品的人机交互设计提供了低成本高收益的改进方向。
🎯 建议动作: 研究跟进
本文首次对主密码保护的密码管理协议（M3PM）进行了系统性的形式化安全分析。密码管理器（PM）帮助用户管理登录凭证，缓解记忆大量密码的负担，而M3PM协议描述了客户端与PM服务器之间的交互：客户端使用主密码进行身份验证，服务器协助跨设备检索凭证。随着PM数据泄露事件频发以及用户对服务器滥用的担忧，确保服务器对主密码和凭证不知情至关重要。作者通过文档分析、流量分析和逆向工程等方法，从43个行业和学术界的PM中识别出事实上的M3PM协议。为了形式化M3PM协议的安全属性，他们在通用可组合（UC）框架内提出了一组理想功能。根据对手的知识类型，他们将针对主密码的离线猜测攻击分为四类。分析表明，43个PM中有38个至少易受一种离线猜测攻击，揭示了各种单主密码保护的M3PM协议在不同条件下无法抵抗此类攻击的情况。此外，他们还发现了一种预言机攻击，使被攻陷的服务器能够学习知名开源PM Passbolt的加密密钥，并证明1Password的双密钥机制为用户的主密码和凭证提供了强保护。
💡 推荐理由: 密码管理器已成为用户管理大量在线账户的关键工具，但其安全性常被高估。本文首次系统性地揭示了主流密码管理器在设计上的根本性缺陷，对安全从业者评估和选择密码管理器具有直接指导意义。
🎯 建议动作: 研究跟进
该论文提出了一种针对桌面环境密码管理器的新型攻击方法——Vault Raider。攻击者通过操纵用户界面（UI）元素，在用户与密码管理器的交互过程中秘密窃取凭据。具体而言，攻击者利用操作系统级的UI自动化能力，创建不可见的覆盖层或伪造的对话框，诱使用户在不知情的情况下向恶意组件输入主密码或一次性验证码。与传统钓鱼攻击不同，Vault Raider无需用户点击链接或安装恶意软件，而是通过劫持合法的密码管理器UI流程来实现。攻击者可以在用户解锁密码管理器、自动填充表单或复制凭据时进行拦截。论文详细描述了两种变体：一是“覆盖攻击”，即恶意窗口覆盖在密码管理器窗口之上，捕获用户输入；二是“拦截攻击”，即攻击者截获密码管理器与浏览器之间的通信，篡改自动填充内容。实验评估了多款主流密码管理器（如LastPass、Bitwarden、1Password等）在Windows和macOS上的脆弱性，结果显示所有测试的密码管理器都至少对一种变体存在风险。论文还讨论了防御措施，如引入安全提示、强制验证UI来源、使用硬件安全模块绑定等。该研究揭示了UI自动化API被滥用的新维度，对终端安全架构设计具有重要启示。
💡 推荐理由: 该研究揭示了桌面密码管理器存在新型UI劫持风险，攻击者无需恶意软件即可窃取凭据，威胁广泛使用的密码管理方案，提醒安全社区重新审视UI交互的安全性。
🎯 建议动作: 研究跟进