几天前 Donjon 发表的一篇文章在网上掀起了一场巨大的丑闻 （一家安全咨询公司），其中基本上 讨论了“卡巴斯基密码管理器”的各种安全问题 特别是在它的密码生成器中，因为它证明了它生成的每个密码都可以被蛮力攻击破解。
正是安全咨询公司 Donjon 他发现 2019 年 2020 月至 XNUMX 年 XNUMX 月期间，卡巴斯基密码管理器 生成的密码可以在几秒钟内破解。 该工具使用了一个伪随机数生成器，该生成器非常不适合加密用途。
研究人员发现密码生成器 它有几个问题，其中一个最重要的问题是 PRNG 只使用了一个熵源 简而言之，就是生成的密码容易受到攻击，而且根本不安全。
“两年前，我们审查了卡巴斯基密码管理器 (KPM)，这是一款由卡巴斯基开发的密码管理器。 Kaspersky Password Manager 是一种产品，可将密码和文档安全地存储在受密码保护的加密保险箱中。 这个保险箱受主密码保护。 因此，与其他密码管理器一样，用户需要记住一个密码才能使用和管理他们的所有密码。 该产品适用于不同的操作系统（Windows、macOS、Android、iOS、Web...）加密数据可以在您的所有设备之间自动同步，始终受您的主密码保护。
“KPM 的主要功能是密码管理。 密码管理器的一个关键点是，与人类不同，这些工具擅长生成强大的随机密码。 要生成强密码，卡巴斯基密码管理器必须依赖一种生成强密码的机制”。
到问题 分配了索引 CVE-2020-27020，“攻击者需要知道额外信息（例如，生成密码的时间）”的警告是有效的，事实是卡巴斯基密码显然没有人们想象的那么安全。
“卡巴斯基密码管理器中包含的密码生成器遇到了几个问题，”地牢研究团队在周二的一篇文章中解释道。 “最重要的是，他使用了不合适的 PRNG 进行加密。 它唯一的熵来源是现在时。 您创建的任何密码都可能在几秒钟内被残忍地破解。”
Dungeon 指出卡巴斯基最大的错误是使用了系统时钟 在几秒钟内作为伪随机数生成器中的种子。
“这意味着世界上每个 Kaspersky Password Manager 实例都会在给定的时间内生成完全相同的密码，”Jean-Baptiste Bédrune 说。 据他介绍，每个密码都可能成为暴力攻击的目标”。 “例如，315,619,200 年和 2010 年之间有 2021 秒，因此 KPM 可以为给定的字符集生成最多 315,619,200 个密码。 对这个列表进行蛮力攻击只需要几分钟。”
研究人员来自 地牢总结：
“卡巴斯基密码管理器使用复杂的方法来生成密码。 这种方法旨在为标准密码黑客创建难以破解的密码。 然而，与专用工具相比，这种方法降低了生成密码的强度。 我们已经展示了如何使用 KeePass 生成强密码作为示例：抽奖等简单方法是安全的，只要您在查看给定字符范围内的字母时摆脱“模数偏差”。
“我们还分析了卡巴斯基的 PRNG，结果表明它非常弱。 它的内部结构是来自 Boost 库的梅森龙卷风，不适用于生成加密材料。 但最大的缺陷是这个 PRNG 是用当前时间播种的，以秒为单位。 这意味着由易受攻击的 KPM 版本生成的每个密码都可以在几分钟内（如果您大致知道生成时间，则可以在几秒钟内）被篡改。
卡巴斯基于 2019 年 2020 月获悉该漏洞，并于同年 27 月发布补丁版本。 2021 年 XNUMX 月，用户被告知必须重新生成一些密码，卡巴斯基于 XNUMX 年 XNUMX 月 XNUMX 日发布了其安全公告：
“导致此问题的所有 Kaspersky Password Manager 公共版本现在都有一个新版本。 安全公司表示，在生成的密码可能不够强大的情况下，密码生成逻辑和密码更新警报
数据来源： https://donjon.ledger.com