Pessoas que usam serviços online regularmente têm entre 100 e 200 senhas. Muito poucos conseguem se lembrar de cada um deles. Os gerenciadores de senhas são, portanto, extremamente úteis, permitindo que os usuários acessem todas as suas senhas com apenas uma única senha mestra.
A maioria dos gerenciadores de senhas são baseados na nuvem. Uma grande vantagem que isso oferece aos usuários é a capacidade de acessar suas senhas em diferentes dispositivos e também compartilhá-las com amigos e familiares. A segurança é o recurso mais importante desses gerenciadores de senhas, pois, em última análise, os usuários armazenam dados confidenciais nessas plataformas de armazenamento criptografadas, comumente chamadas de “cofres”. Isso também pode incluir detalhes de login para serviços bancários on-line ou cartões de crédito.
A maioria dos prestadores de serviços promove, portanto, os seus produtos com a promessa de “criptografia de conhecimento zero”. Isso significa que eles garantem aos usuários que suas senhas armazenadas estão criptografadas e até mesmo os próprios provedores têm “conhecimento zero” delas e nenhum acesso ao que foi armazenado. “A promessa é que mesmo que alguém consiga acessar o servidor, isso não representa um risco de segurança para os clientes porque os dados são criptografados e, portanto, ilegíveis. Demonstramos agora que não é esse o caso”, explica Matilda Backendal.
Backendal conduziu o estudo junto com Matteo Scarlata, Kenneth Paterson e Giovanni Torrisi do Grupo de Criptografia Aplicada da ETH Zurique. Backendal e Torrisi trabalham atualmente na Università della Svizzera italiana em Lugano.
Acesso completo às senhas
A equipe conduziu um estudo para examinar a arquitetura de segurança de três provedores populares de gerenciadores de senhas: Bitwarden, Lastpass e Dashlane. Entre eles, atendem cerca de 60 milhões de usuários e têm uma participação de mercado de 23%. Os pesquisadores demonstraram 12 ataques ao Bitwarden, 7 ao LastPass e 6 ao Dashlane.
Para fazer isso, eles configuram seus próprios servidores que se comportam como um servidor gerenciador de senhas hackeado. Eles partiram do pressuposto de que, após um ataque, os servidores se comportam de forma maliciosa (modelo de ameaça de servidor malicioso) e, ao interagirem com clientes, como um navegador da Web, desviam-se arbitrariamente do comportamento esperado.
Seus ataques variaram desde violações de integridade que afetam cofres de usuários específicos e direcionados até o comprometimento completo de todos os cofres de uma organização que usa o serviço. Na maioria dos casos, os pesquisadores conseguiram obter acesso às senhas – e até mesmo fazer alterações nelas.
Tudo o que eles precisavam para conseguir isso eram interações simples que os usuários ou seus navegadores realizam rotineiramente ao usar o gerenciador de senhas – por exemplo, fazer login na conta, abrir o cofre, visualizar senhas ou sincronizar dados. “Devido à grande quantidade de dados confidenciais que contêm, os gerenciadores de senhas são alvos prováveis de hackers experientes que são capazes de penetrar nos servidores e lançar ataques a partir deles”, diz Paterson, professor de Ciência da Computação na ETH Zurich. Ataques como este já ocorreram no passado.
Código confuso
“Ficamos surpresos com a gravidade das vulnerabilidades de segurança”, diz Paterson. Sua equipe já havia descoberto vulnerabilidades semelhantes em outros serviços baseados em nuvem, mas assumiu um padrão de segurança significativamente mais alto para gerenciadores de senhas devido aos dados críticos que armazenam. “Como a criptografia ponta a ponta ainda é relativamente nova nos serviços comerciais, parece que ninguém a havia examinado em detalhes antes.”
Matteo Scarlata, estudante de doutorado do Grupo de Criptografia Aplicada, realizou alguns dos ataques. Ao começar a analisar como os vários gerenciadores de senhas eram codificados, ele rapidamente se deparou com uma arquitetura de código muito estranha. Na sua opinião, estas empresas procuram oferecer aos seus clientes o serviço mais fácil de utilizar possível, oferecendo, por exemplo, a possibilidade de recuperar palavras-passe ou partilhar a sua conta com familiares.
“Como resultado, o código se torna mais complexo e confuso e expande a superfície potencial de ataque para hackers”, explica Scarlata. Tais ataques não requerem computadores ou servidores particularmente poderosos – apenas pequenos programas capazes de se passar pelo servidor.”
Como é comum nos ataques “amigáveis”, a equipe de Paterson contatou os fornecedores dos sistemas em questão antes de publicar suas descobertas. Eles tiveram 90 dias para corrigir suas vulnerabilidades de segurança. “Na maior parte, os fornecedores foram cooperativos e agradecidos, mas nem todos foram tão rápidos quando se tratou de corrigir as vulnerabilidades de segurança”, diz Paterson.
As discussões com os desenvolvedores desses gerenciadores de senhas mostraram que eles estão muito hesitantes quando se trata de atualizações do sistema, pois temem que seus clientes possam perder o acesso às suas senhas e outros dados pessoais. Ao lado de milhões de particulares, esta base de clientes também inclui milhares de empresas que confiam aos fornecedores toda a gestão de suas senhas. Não é difícil imaginar o que aconteceria se de repente perdessem o acesso aos seus dados. Muitos fornecedores, portanto, aderem às tecnologias criptográficas dos anos 90, embora estas estejam obsoletas há muito tempo, diz Scarlata.
Atualizar sistemas com criptografia moderna
Os investigadores fizeram agora sugestões concretas sobre como a segurança destes sistemas poderia ser melhorada. Scarlata propõe a atualização dos sistemas para novos clientes de acordo com os mais recentes padrões criptográficos. Os clientes existentes poderiam então ter a opção de migrar para o novo sistema mais seguro e transferir suas senhas ou continuar com o sistema antigo – com pleno conhecimento das vulnerabilidades de segurança existentes.
E o que os milhões de pessoas que dependem de seu gerenciador de senhas todos os dias podem fazer para aproveitar ao máximo os serviços online? Paterson recomenda escolher um gerenciador de senhas que seja transparente sobre possíveis vulnerabilidades de segurança, passe por auditorias externas e, no mínimo, tenha criptografia de ponta a ponta habilitada por padrão.
“Queremos que nosso trabalho ajude a promover mudanças neste setor”, diz Paterson. “Os fornecedores de gestores de palavras-passe não devem fazer falsas promessas aos seus clientes sobre segurança, mas sim comunicar de forma mais clara e precisa quais as garantias de segurança que as suas soluções realmente oferecem.”
Fonte: theverge
