Ang pinakahuling kahinaan ng extension ng extension ng browser: kung paano manatiling ligtas

Ang isa sa mga pinakatanyag na tagapamahala ng Password LastPass ay nahaharap sa malubhang mga isyu sa mga extension ng browser nito dahil maraming mga kahinaan ang inihayag kasama ang serbisyo sa nakaraang linggo, at nagpapatuloy pa rin sila.

Ang teknolohiya ay palaging umuusbong, at bagaman nilalayong mapahusay ang ating pamumuhay, kung minsan maaari itong mapinsala kung ang ilang mga bug ay sinasamantala, lalo na kung ang isang serbisyo tulad ng LastPass, na responsable para sa pag-iingat sa sampu-sampung milyong mga password, ay nababahala.

Noong nakaraang linggo, noong Marso 20, si Tavis Ormandy, isang researcher sa Project Zero ng Google, ay walang takip ang dalawang mga bug sa mga extension ng LastPass 'na ginawa ng mga gumagamit na mahina laban sa pagpapatupad ng remote code.

Ang nahayag na kahinaan ay nakakaapekto sa parehong negosyo at personal na mga gumagamit ng serbisyo.

Ang mga Vulnerability Naibunyag sa nakaraang Linggo?

Marso 20: Nahanap ng Tavis Ormandy ang dalawang mga kahinaan sa Remote Code Execution (RCE) na nakakaapekto sa mga extension ng browser ng LastPass '- potensyal na paganahin ang isang umaatake na magnakaw ng mga password.

Mga Oops, bagong LastPass bug na nakakaapekto sa 4.1.42 (Chrome & FF). RCE kung gagamitin mo ang "Binary Component", kung hindi, maaari kang magnakaw ng pwds. Buong ulat sa paraan. pic.twitter.com/y92vm3Ibxd

- Tavis Ormandy (@taviso) Marso 20, 2017

Marso 21: Kinilala ng LastPass ang ulat ni Ormandy at kinumpirma na ang mga kahinaan ay umiiral at ang kanilang koponan ay nagtatrabaho upang ayusin ito.

Alam namin ang ulat ni @taviso at ang aming koponan ay naglagay ng isang lugar sa trabaho habang nagtatrabaho kami sa isang resolusyon. Manatiling nakatutok para sa mga update.

- LastPass (@LastPass) Marso 21, 2017

Marso 22: Inanunsyo ng kumpanya na inilabas nila ang mga bagong bersyon ng Chrome (v 4.1.43) at Firefox (v 4.1.36) na mga extension ng browser na may mga pag-update sa seguridad sa lugar.

Nabanggit din nila na walang data na nakompromiso sa pagitan ng panahong ito at ang mga gumagamit ay hindi kailangang mag-alala tungkol sa pagbabago ng kanilang mga kredensyal. Ang mga na-update na bersyon ng Microsoft Edge at Opera ng mga extension ng browser ay ilalabas habang naghihintay ng pag-apruba ng kumpanya.

Marso 25: Natuklasan ng Tavis Ormandy ang isa pang kahinaan na nahaharap sa na-update na bersyon ng extension ng browser ng Google Chrome (v 4.1.43). Kinilala ng LastPass ang kahinaan sa isang pag-update ng kanilang pag-anunsyo noong Marso 22.

Ah-ha, nagkaroon ako ng epiphany sa shower kaninang umaga at natanto kung paano makakuha ng codeexec sa LastPass 4.1.43. Buong ulat at pagsamantalahan sa paraan. pic.twitter.com/vQn20D9VCy

- Tavis Ormandy (@taviso) Marso 25, 2017

Marso 27: Nagpalabas ng pahayag ang LastPass, "Hindi kami aktibong tinugunan ang kahinaan. Ang pag-atake na ito ay natatangi at lubos na sopistikado. Hindi namin nais na isiwalat ang anumang bagay tungkol sa kahinaan o ang aming pag-aayos na maaaring magbunyag ng anumang bagay sa hindi gaanong sopistikado ngunit hindi masayang partido."

Paano Manatiling Ligtas?

Sa kasalukuyan, nakumpirma na ni LastPass na nagtatrabaho ito upang ayusin ang mga isyu sa seguridad sa kanilang serbisyo at ang isang buong pag-aayos ay maaaring asahan sa lalong madaling panahon. Samantala, inirerekumenda para sa mga gumagamit ng LastPass na makinig sa mga sumusunod na pag-iingat.

• Upang maprotektahan ang kanilang mga kredensyal sa pag-login, inirerekomenda ang mga gumagamit na huwag paganahin ang mga extension ng browser sa pansamantala at ilunsad ang mga website nang direkta mula sa LastPass Vault hanggang sa ang mga kahinaan ay nalutas ng kumpanya.
• I-on ang Two-Factor Authentication para sa lahat ng mga account na nag-aalok ng pagpipilian, na nagbibigay sa iyong account ng isang karagdagang layer ng seguridad kung sakaling ang kahinaan ay sinasamantala ng isang umaatake.
• Maging maingat para sa pag-atake sa phishing. Huwag mag-click sa mga link mula sa hindi mapagkakatiwalaang mga mapagkukunan - mga taong hindi mo kilala

Naghahanap ng mga kahalili sa LastPass? Suriin ang nangungunang 3 mga kahalili dito.