Специалисты нашли 25 векторов атак на Bitwarden, LastPass и Dashlane

Специалисты нашли 25 векторов атак на Bitwarden, LastPass и Dashlane

Специалисты нашли 25 векторов атак на Bitwarden, LastPass и Dashlane

Исследователи из ETH Zurich и Università della Svizzera italiana заявили: популярные облачные менеджеры паролей — Bitwarden, LastPass и Dashlane — при определённых условиях уязвимы к атакам, которые могут привести к восстановлению паролей и даже компрометации целых хранилищ.

Речь идёт о сценарии со «злонамеренным сервером».

Специалисты решили проверить, насколько на практике работают обещания zero-knowledge encryption (ZKE) — модели, при которой провайдер не должен иметь доступа к содержимому пользовательского хранилища. В теории сервер ничего «не знает» о ваших данных. На практике всё оказалось сложнее.

В ходе исследования выявили 12 типов атак против Bitwarden, семь — против LastPass и шесть — против Dashlane. Диапазон последствий — от нарушения целостности отдельных записей до полной компрометации всех хранилищ в организации. В общей сложности эти сервисы обслуживают более 60 млн пользователей и около 125 тыс. компаний.

По словам авторов работы, проблемы связаны с архитектурными анти-паттернами и криптографическими ошибками. Среди выявленных сценариев — атаки на механизм восстановления доступа (key escrow), уязвимости в поэлементном шифровании (когда данные и метаданные защищены по-разному), риски, связанные с функциями совместного доступа, а также downgrade-атаки из-за поддержки устаревших механизмов шифрования.

 

Исследование также затронуло 1Password. Авторы указали на уязвимости, связанные с моделью поэлементного шифрования и шарингом, однако в компании заявили, что речь идёт об уже известных архитектурных ограничениях. В 1Password подчеркнули, что не обнаружили новых векторов атак сверх задокументированных и продолжают усиливать защиту, включая использование протокола Secure Remote Password (SRP).

Bitwarden, Dashlane и LastPass сообщили, что внедряют или уже внедрили меры по снижению рисков. Dashlane, например, устранила проблему, позволявшую при компрометации серверов понизить модель шифрования, отказавшись от поддержки устаревшей криптографии в версии расширения 6.2544.1 (ноябрь 2025 года).

Bitwarden заявила, что большинство выявленных вопросов уже закрыты или находятся в стадии исправления. LastPass пообещала усилить механизмы контроля целостности данных и доработать процессы сброса паролей и шаринга.

Важно: на данный момент нет доказательств того, что эти уязвимости эксплуатировались в реальных атаках.

Роскомнадзор не спит: в России начались массовые сбои протокола VLESS

В России зафиксированы массовые сбои в работе протокола VLESS — одного из популярных способов обхода блокировок. Жалобы начали появляться со вчерашнего вечера и продолжают поступать из разных регионов страны — от Москвы до Дальнего Востока.

Пользователи сообщают о разрывах соединения через одну-две минуты после подключения, а в ряде случаев — о полной невозможности установить сессию.

По их словам, проблемы затрагивают как базовые конфигурации, так и более сложные схемы с маскировкой трафика под обычные сайты.

Речь идёт о протоколе VLESS, который используется в ряде решений для обхода ограничений и долгое время считался одним из наиболее устойчивых к фильтрации. Ранее его уже блокировали точечно, однако нынешняя волна, по оценкам пользователей профильных сообществ, носит более масштабный характер.

В качестве возможной причины называют обновление механизмов фильтрации трафика на уровне ТСПУ (технических средств противодействия угрозам). Предполагается, что системы научились выявлять характерные «отпечатки» трафика VLESS, даже если он маскируется под обычный веб-трафик.

Официальных комментариев по поводу ситуации пока не поступало. Между тем в тематических чатах и каналах активно обсуждают альтернативные схемы подключения и новые способы обхода фильтрации.

Похоже, что очередной этап противостояния между средствами блокировки и инструментами обхода вступил в новую фазу.

RSS: Новости на портале Anti-Malware.ru