Firefox password manager lekt wachtwoorden
Via JavaScript en cross-site scripting is het vrij eenvoudig voor kwaadaardige websites om wachtwoorden uit de Firefox password manager te stelen. Dat laat beveiligingsexpert Jeremiah Grossman volgende week tijdens de Black Hat Las Vegas conferentie zien. Tijdens zijn lezing "Breaking Browsers: Hacking Auto-Complete" demonstreert Grossman niet alleen de aanval op Firefox, maar ook hoe met JavaScript de auto-complete data in Internet Explorer 6 en 7 te stelen is.
Cookies
Daarmee is het mogelijk om voor- en achternaam, aliassen, e-mailadressen, adresgegevens en andere informatie van gebruikers te achterhalen. Ook is het mogelijk om de browser alle cookies te laten verwijderen, waardoor de browser de gebruiker automatisch uit alle lopende sessies uitlogt.
De technieken die Grossman laat zien zijn al langer bekend, maar nog niet overal doorgedrongen. "Voor welke reden dan ook zijn ze genegeerd door browserleveranciers en beveiligingsonderzoekers. Tijd om er eens de aandacht op te vestigen", aldus de hacker.
ach FF is een goeie browser met een boel mogelijkheden, vanuit security oogpunt is het nooit slim wachtwoorden op te slaan op een systeem dat in verbinding staat met het internet er is op die manier altijd een risico aanwezig dat de wachtwoorden gelekt kunnen worden
ach FF is een goeie browser met een boel mogelijkheden, vanuit security oogpunt is het nooit slim wachtwoorden op te slaan op een systeem dat in verbinding staat met het internet er is op die manier altijd een risico aanwezig dat de wachtwoorden gelekt kunnen worden
Precies, dit had ook kunnen voorkomen bij IE of Opera. Het belangrijkste is dat het gepatched wordt.
En verder: "Via JavaScript en cross-site scripting"
De NoScript add-on berschermt Fx daar toch tegen, niet?
Ik twijfel er niet aan om Fx (niet "FF" * ) te blijven gebruiken. Als het lek ernstig genoeg is zal een patch wel snel volgen.
* http://www.mozilla.com/en-US/firefox/releases/1.5.html
Only the first letter is capitalized (so it's Firefox, not FireFox.) The preferred abbreviation is "Fx" or "fx".
Een apart vertrouwd programma (bijv. passwordsafe, keepass) gebruiken is zeker beter.
Er is trouwens een addon genaamt Secure Login voor firefox die ervoor zorgt dat je eerst op een knop moet drukken voordat die gebruikersnamen en wachtwoord velden automatisch invult, dit helpt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
