Hackers kraken ingebouwde Windows-encryptie
De in Windows XP ingebouwde encryptie om opgeslagen Google, Facebook en andere wachtwoorden te beschermen, is eenvoudig te kraken, zo hebben onderzoekers aangetoond. "Het gaat niet alleen om de data op de computer, maar alles wat je in de cloud hebt staan, waaronder je Facebook-account, Gmail-account, etc.", aldus onderzoeker Elie Bursztein, die hulp van verschillende andere onderzoekers kreeg.
Het onderzoeksteam heeft een open source programma OWADE (Offline Windows Analyzer and Data Extractor) uitgebracht, dat op Ubuntu draait. Het is ontworpen om door Internet Explorer, Firefox, Google Chrome en Safari opgeslagen informatie op Windows XP te ontsleutelen. Ook instant messaging software zoals Skype, MSN live en Gtalk zijn niet veilig.
Het probleem bevindt zich in de ingebouwde encryptie-feature genaamd DPAPI, dat onderdeel van de Crypto API is. Daarmee kunnen applicatieontwikkelaars gevoelige gegevens versleutelen. Er zitten echter verschillende beveiligingsproblemen in de manier waarop DPAPI is ontwikkeld. Zo is de lijst van mogelijk wachtwoorden op veel Windows-versies beperkt tot maximaal 7 triljoen mogelijkheden, die allemaal zijn te berekenen.
Encryptie
OWADE kan historische WiFi-gegevens die Windows opslaat, door een lijst van benaderde access points te bieden, ontsleutelen en aantonen wanneer elk access point benaderd is. Ook kan het alle inloggegevens van verschillende applicaties achterhalen en aan de hand van de browser, Windows register en Windows certificaat store het surfgedrag reconstrueren. In sommige gevallen is OWADE zelfs in staat om gegevens terug te halen die de gebruiker in de browser's private mode gebruikte.
Met name Firefox-gebruikers moeten oppassen. "Het spijt me om te zeggen, maar Firefox is de slechtst voor offline security", aldus Bursztein. Internet Explorer biedt de meeste bescherming. Voor Instant Messaging clients zijn gebruikers het beste af bij Skype en Google Talk. Microsoft Messenger krijgt een "medium" beoordeling, terwijl Trillian en Pidgin slecht scoren.
"Het mechanisme in Windows dat je gegevens moet beschermen is eenvoudig te omzeilen. Het enige alternatief is dat je je schijf versleutelt als je niet wilt dat je account wordt gehackt", aldus de onderzoeker. Ook Microsoft adviseert in een reactie dat gebruikers als oplossing encryptie kunnen gebruiken.
Ter info: DPAPI werd geïntroduceerd met Windows 2000.
Over Internet Explorer staat er:
Het lijkt erop dat het paper uitgaat van een offline aanval: dus de versleutelde bestanden zijn gejat, hoe kom je nu aan de wachtwoorden? Terwijl een beetje malware die wachtwoorden zal proberen te stelen terwijl je bent ingelogd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
