Firefox-lek maakte diefstal opgeslagen wachtwoorden mogelijk
Mozilla heeft een nieuwe versie van Firefox uitgebracht wegens een beveiligingslek waardoor het mogelijk was om opgeslagen wachtwoorden van gebruikers te stelen. Firefox biedt een wachtwoordmanager voor het opslaan van wachtwoorden. De wachtwoordmanager kan met een "master password" worden beveiligd, zodat opgeslagen wachtwoorden alleen na het opgeven van het master password toegankelijk zijn.
Via het Saved Logins-menu van Firefox kunnen gebruikers zien welke wachtwoorden door de browser zijn opgeslagen. Ook biedt het menu een optie om opgeslagen wachtwoorden te kopiëren. In het geval er een master password is ingesteld moet dit eerst worden opgegeven voordat de wachtwoorden zichtbaar zijn.
Door het beveiligingslek was het echter mogelijk om via de "copy password" optie wachtwoorden te kopiëren en in het clipboard te plakken, zonder dat het master password eerst was opgegeven. Op deze manier was het mogelijk geweest om opgeslagen wachtwoorden te stelen, aldus Mozilla. Updaten naar Firefox 68.0.2 kan via de automatische updatefunctie en Mozilla.org.
Dit zou je verwachten. Maar dat levert wel een probleem op bij het wijzigen van je master password. Firefox moet ieder wachtwoord met het oude master password ontsleutelen. Daarna moet ieder wachtwoord met het nieuwe master password versleuteld worden. Dat duurt niet lang. Als er zich echter halverwege een fout voordoet, of de machine valt uit. Dan is misschien niet alles met het nieuwe master password beveilligt.
Het zou dus kunnen zijn dat men voor een andere methode heeft gekozen. Daarbij geeft het master password toegang tot de encryption key. Het lek geeft echter ook zonder master password toegang tot die key.
Een kwetsbaarheid zit eigenlijk nooit in het gewone gebruik. Anders zou dat al lang eerder zijn ondekt. Een kwetsbaarheid zit dieper in het systeem. Je moet even wat moeite doen.
Peter
Ik vind dit ook vreemd. De browser zou zelf dat master password niet moeten kennen en dus nooit zelfstandig de wachtwoorden kunnen ontsleutellen, zelfs als er een grote bug in zit. Of gebruikt Firefox een encryptie met een achterdeurtje om bij de wachtwoorden te komen?
Als men dit bij Mozilla niet weet, of dat onderdeel heeft laten bouwen door mensen die dit niet weten, dan is dat niet best. Maar dat wachtwoorden helemaal niet versleuteld werden met het master password doet vermoeden dat daar inderdaad fors is gebeunhaasd op dit onderdeel. Hoe dan ook is dit geen beste beurt.
Ja dat zou wel een mooie combi zijn van zo veel mogelijk hinder voor de gebruiker en zo min mogelijk beveiliging.
Dit lijkt me inderdaad zowat het meest belangrijke onderdeel van het opslaan van de wachtwoorden..
Dit probleem doet zich alleen voor bij een sessie waarin het master-password al een keer is ingevoerd, en de wachtwoorden dus al ontsleuteld zijn. Wanneer de wachtwoorden ontsleuteld zijn, is het opnieuw invoeren van het master-password nodig om de functie "view password" binnen de wachtwoordmanager te gebruiken. Het gaat dan niet meer om het ontsleutelen van de wachtwoorden, maar het zichtbaar maken van de reeds ontsleutelde wachtwoorden.
Door deze fout werd de prompt voor het master-password dus niet (opnieuw) gegeven wanneer men simpelweg het wachtwoord kopieerde met ctrl-c of rechtermuisknop -> copy.
De implementatiefout is dus niet dat de wachtwoorden niet versleuteld worden, maar dat ze na de eerste keer ontsleutelen, ontsleuteld in het geheugen blijven en ook nog eens via de GUI bereikbaar zijn.
Het moet tenslotte wel een ver(r)assing blijven dat ergens 'n spaarrekening is waarvan je een low-low-budget begrafenis zou kunnen betalen ;-).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
