Kaikkien salasanojen muistaminen kaikille verkkotileillesi on haastavaa, ja siksi olemassa salasananhallintaohjelmat, kuten LastPass, Dashlane ja 1Password. Mutta nämä valtavat salatut käyttäjätunnuksia ja salasanoja sisältävät tietokannat ovat rikollisten pääkohteita, ja monet ohjelmat ovat kärsineet rikkomuksista.
Tällä viikolla ilmainen salasanojen hallinta KeePass ilmoitti sivustollaan haavoittuvuus on olemassa sen hakkerit voivat lähettää käyttäjille väärennettyjä ohjelmistopäivityksiä, jotka sisältävät haittaohjelmia, asettamalla itsensä uudeksi KeePass-ohjelmistoksi. KeePass käyttää salaamatonta Hypertext Transfer Protocol (HTTP) -suojausta HTTPS-suojatun version sijaan. (Jos et tiedä mitä HTTP ja HTTPS ovat, tutustu tämän sivun URL-osoitteeseen. HTTPS on protokolla, joka isännöi tietoja Internet-selaimen ja verkkosivustojen välillä. HTTPS on suojattu ja todentaa jokaisen sivuston ja palvelimen varma, että haitallinen sivusto ei ole laillisena.)
Turvallisuustutkija Florian Bogner kertoo LifeHacker että koska KeePass käyttää HTTP: tä ohjelmistopäivityksissä, huijarit voivat luoda väärennetyn päivityksen, johon on lisätty haittaohjelmia.
KeePass selittää sivustollaan:
Versiotiedosto ladataan KeePass-verkkosivustolta HTTP: n kautta. Siten keskellä oleva mies (joku, joka pystyy sieppaamaan yhteyden KeePass-verkkosivustoon), olisi voinut palauttaa virheellisen versiotietotiedoston, jolloin KeePass saattoi näyttää ilmoituksen uuden KeePass-version saatavuudesta.
KeePass sanoo, että hakkeri lähettää sinulle väärennetyn päivityksen, jossa on haittaohjelmia, ei tarkoita sitä, että hyökkäys on liikkeessä, koska KeePass ei isännöi automaattisia päivityksiä. KeePass-käyttäjien on ladattava uusi versio manuaalisesti. KeePass sanoo, että käyttäjien tulisi tarkistaa digitaalinen allekirjoitus ja jos haittaohjelmia esiintyy, älä lataa sitä.
Katso lisätietoja digitaalisen allekirjoituksen tarkistamisesta katsomalla Bognerin video alla:
