En los últimos 15 abriles, los administradores de contraseñas han pasado de ser una útil de seguridad de hornacina utilizada por los expertos en tecnología a una útil de seguridad indispensable para las masas, con una estimado 94 millones de adultos estadounidenses (o aproximadamente el 36 por ciento de ellos) los han acogido. Almacenan no sólo contraseñas de cuentas de pensiones, financieras y de correo electrónico, sino todavía credenciales de criptomonedas, números de tarjetas de cuota y otros datos confidenciales.

Los ocho principales administradores de contraseñas han acogido el término “conocimiento cero” para describir el confuso sistema de enigmático que utilizan para proteger las bóvedas de datos que los usuarios almacenan en sus servidores. Las definiciones varían tenuemente de un proveedor a otro, pero generalmente se reducen a una respaldo audaz: que no hay forma de que personas internas maliciosas o piratas informáticos que logren comprometer la infraestructura de la montón roben bóvedas o datos almacenados en ellas. Estas promesas tienen sentido, dadas las violaciones anteriores de LastPass y la expectativa justo de que los piratas informáticos a nivel estatal tengan tanto el motivo como la capacidad de obtener bóvedas de contraseñas pertenecientes a objetivos de stop valía.

Una respaldo audaz desmentida

Algunas de estas afirmaciones son típicas de Bitwarden, Dashlane y LastPass, que en conjunto son utilizados por aproximadamente 60 millones de personas. bitwarden, Por ejemplodice que “ni siquiera el equipo de Bitwarden puede repasar sus datos (incluso si quisiéramos)”. Dashlane, mientras tanto, dice que sin una contraseña maestra de favorecido, “los actores malintencionados no pueden robar la información, incluso si los servidores de Dashlane están comprometidos”. final pase dice que nadie puede obtener a los “datos almacenados en su cúpula de LastPass, excepto usted (ni siquiera LastPass)”.

Una nueva investigación muestra que estas afirmaciones no son ciertas en todos los casos, particularmente cuando se implementa la recuperación de cuentas o los administradores de contraseñas están configurados para compartir bóvedas u organizar a los usuarios en grupos. Los investigadores realizaron ingeniería inversa o analizaron de cerca Bitwarden, Dashlane y LastPass e identificaron formas en que alguno con control sobre el servidor (ya sea burócrata o como resultado de un compromiso) puede, de hecho, robar datos y, en algunos casos, bóvedas enteras. Los investigadores todavía idearon otros ataques que pueden debilitar el enigmático hasta el punto de que el texto enigmático pueda convertirse en texto sin formato.