搜索

[2866] 2016-06-07_KeePass吝惜广告收入，拒不修复安全漏洞

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-06-07_KeePass吝惜广告收入，拒不修复安全漏洞 K e e P a s s 吝 惜 广 告 收 入 ， 拒 不 修 复 安 全 漏 洞 原 创   E 安 全   E 安 全   2 0 1 6 - 0 6 - 0 7 K e e P a s s 密 码 管 理 器 的 应 用 更 新 程 序 存 在 中 间 人 （ 密 码 管 理 器 的 应 用 更 新 程 序 存 在 中 间 人 （ M i t M ） 攻 击 的 安 全 漏 洞 ， 开 发 者 故 意 拒 绝 修 补 漏 洞 。 ） 攻 击 的 安 全 漏 洞 ， 开 发 者 故 意 拒 绝 修 补 漏 洞 。 今 年 二 月 ， K a p s c h   B u s i n e s s C o m 开 发 者 F l o r i a n   B o g n e r 发 现 所 有 K e e P a s s 2   . x 版 本 要 求 通 过 不 安 全 的 H T T P 连 接 请 求 K e e P a s s 服 务 器 更 新 版 本 ， 更 新 机 制 存 在 安 全 隐 患 。 B o g n e r 可 以 创 建 并 发 起 M i t M 攻 击 ， 用 恶 意 文 件 替 换 K e e P a s s 更 新 。 攻 击 有 机 可 乘 ， 原 因 在 于 K e e P a s s 不 使 用 H T T P ， 也 不 验 证 下 载 包 。 K e e P a s s 开 发 者 最 初 拒 绝 解 决 问 题 开 发 者 最 初 拒 绝 解 决 问 题 研 究 人 员 通 知 K e e P a s s 的 项 目 负 责 人 D o m i n i k   R e i c h l ， R e i c h l 今 年 二 月 通 过 邮 件 告 诉 B o g n e r “ 不 会 修 复 漏 洞 ， 转 变 为 H T T P S 存 在 间 接 成 本 （ 如 失 去 广 告 收 入 ） ， 这 个 解 决 方 案 不 可 行 。 ” 从 M i t r e 收 到 C V E 标 识 符 C V E - 2 0 1 6 - 5 1 1 9 后 ， 研 究 人 员 决 定 公 开 研 究 ， 这 个 消 息 迅 速 在 所 有 安 全 论 坛 炸 开 了 锅 ， 不 是 因 为 微 小 的 漏 洞 利 用 ， 而 是 R e i c h l 选 择 可 观 的 广 告 收 入 ， 而 不 顾 及 用 户 安 全 问 题 。 大 量 用 户 强 烈 反 对 这 种 行 为 ， R e i c h l 回 应 批 评 家 并 表 明 了 他 的 立 场 ： 他 不 会 添 加 H T T P S 支 持 用 于 更 新 过 程 ， 但 他 透 露 ， 他 添 加 了 所 有 K e e P a s s 更 新 程 序 包 的 数 字 签 名 。 R e i c h l 的 答 复 如 下 ：   “ 到 目 前 为 止 ， K e e P a s s 网 站 不 支 持 H T T P S 。 如 果 K e e P a s s 网 站 继 续 使 用 H T T P ， 将 更 新 信 息 文 件 移 至 H T T P S 网 站 百 无 一 用 。 只 有 当 H T T P S 同 时 用 于 网 站 和 更 新 文 件 时 才 有 意 义 。 遗 憾 的 是 ， 目 前 种 种 原 因 致 使 H T T P S 不 可 能 运 用 ， 但 当 情 况 可 能 时 ， 我 会 转 换 到 H T T P S 。 更 为 重 要 的 是 ， 我 们 会 验 证 下 载 （ 我 建 议 单 独 从 下 载 k e e P a s s 的 地 方 下 载 ） 。 二 进 制 文 件 实 现 了 数 字 签 名 （ 验 证 码 ） ， 你 可 以 使 用 W i n d o w s 资 源 管 理 器 进 入 “ 属 性 - > 标 签 ” 检 查 数 字 签 名 。 ” 用 户 应 从 首 页 下 载 所 有 用 户 应 从 首 页 下 载 所 有 K e e P a s s 更 新 更 新 R e i c h l 改 变 主 意 添 加 H T T P 支 持 K e e P a s s 更 新 过 程 之 前 ， 最 好 的 做 法 就 是 使 用 数 字 签 名 功 能 验 证 更 新 程 序 包 ， 或 访 问 K e e P a s s 网 站 手 动 下 载 更 新 文 件 。
这 不 是 第 一 次 K e e P a s s 备 受 安 全 研 究 人 员 的 瞩 目 。 去 年 秋 天 ， 另 一 位 安 全 研 究 人 员 创 建 了 K e e F a r c e - 从 K e e P a s s 内 部 数 据 库 中 提 取 明 文 密 码 的 工 具 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： w e i b o . c o m / E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 更 多 全 球 网 络 安 全 最 新 资 讯 ， 欢 迎 关 注 E 安 全 A P P 客 户 端 。
点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理