Firefox password manager lekt wachtwoorden
Via JavaScript en cross-site scripting is het vrij eenvoudig voor kwaadaardige websites om wachtwoorden uit de Firefox password manager te stelen. Dat laat beveiligingsexpert Jeremiah Grossman volgende week tijdens de Black Hat Las Vegas conferentie zien. Tijdens zijn lezing "Breaking Browsers: Hacking Auto-Complete" demonstreert Grossman niet alleen de aanval op Firefox, maar ook hoe met JavaScript de auto-complete data in Internet Explorer 6 en 7 te stelen is.
Cookies
Daarmee is het mogelijk om voor- en achternaam, aliassen, e-mailadressen, adresgegevens en andere informatie van gebruikers te achterhalen. Ook is het mogelijk om de browser alle cookies te laten verwijderen, waardoor de browser de gebruiker automatisch uit alle lopende sessies uitlogt.
De technieken die Grossman laat zien zijn al langer bekend, maar nog niet overal doorgedrongen. "Voor welke reden dan ook zijn ze genegeerd door browserleveranciers en beveiligingsonderzoekers. Tijd om er eens de aandacht op te vestigen", aldus de hacker.
ach FF is een goeie browser met een boel mogelijkheden, vanuit security oogpunt is het nooit slim wachtwoorden op te slaan op een systeem dat in verbinding staat met het internet er is op die manier altijd een risico aanwezig dat de wachtwoorden gelekt kunnen worden
ach FF is een goeie browser met een boel mogelijkheden, vanuit security oogpunt is het nooit slim wachtwoorden op te slaan op een systeem dat in verbinding staat met het internet er is op die manier altijd een risico aanwezig dat de wachtwoorden gelekt kunnen worden
Precies, dit had ook kunnen voorkomen bij IE of Opera. Het belangrijkste is dat het gepatched wordt.
En verder: "Via JavaScript en cross-site scripting"
De NoScript add-on berschermt Fx daar toch tegen, niet?
Ik twijfel er niet aan om Fx (niet "FF" * ) te blijven gebruiken. Als het lek ernstig genoeg is zal een patch wel snel volgen.
* http://www.mozilla.com/en-US/firefox/releases/1.5.html
Only the first letter is capitalized (so it's Firefox, not FireFox.) The preferred abbreviation is "Fx" or "fx".
Een apart vertrouwd programma (bijv. passwordsafe, keepass) gebruiken is zeker beter.
Er is trouwens een addon genaamt Secure Login voor firefox die ervoor zorgt dat je eerst op een knop moet drukken voordat die gebruikersnamen en wachtwoord velden automatisch invult, dit helpt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
