Alerta por grave fallo en extensiones de gestores de contraseñas

[Noticias]

Alerta por grave fallo en extensiones de gestores de contraseñas

Una reciente investigación del experto en ciberseguridad Marek Tóth, presentada en la conferencia DEF CON 33, revela una grave vulnerabilidad en extensiones de gestores de contraseñas para navegadores. Según el informe, bastaría con hacer clic en un elemento manipulado dentro de una web para activar un sistema de robo de credenciales sin que el usuario se percate. La falla no está en las aplicaciones de escritorio, sino en extensiones populares que interactúan con páginas web a través del navegador. El ataque consiste en ocultar elementos de la extensión en la web mediante capas invisibles o manipulación del DOM. Así, el autocompletado se activa de forma encubierta. Más preocupante aún es que esto puede suceder incluso en páginas legítimas, aprovechando fallos de seguridad, sin necesidad de sitios maliciosos creados para el engaño. En total, once extensiones populares fueron identificadas como vulnerables, incluyendo 1Password, Bitwarden, Enpass, LastPass, iCloud Passwords y LogMeOnce. Algunas ya han aplicado correcciones (como NordPass o Dashlane), mientras que otras siguen sin respuesta o han minimizado el problema. Las recomendaciones para mitigar el riesgo incluyen desactivar el autocompletado automático, usar copiar y pegar, y restringir el funcionamiento de la extensión solo a clics manuales. En navegadores como Chrome, se puede limitar su activación para evitar el uso automático. Aunque el ataque requiere ciertas condiciones para ser efectivo, la investigación pone en evidencia un fallo estructural que afecta no solo a gestores de contraseñas, sino también a otras extensiones como las de criptomonedas o notas.

fuente

[DeeLuXe]

Nunca me han gustado los gestores de contraseñas, es como meter todos los huevos en la misma cesta.

[yomismovoy]

Otro que tampoco le gustan y no los utiliza. Las guardo en la memoria humana.

[xmigoll]

Originalmente Escrito por DeeLuXe

Nunca me han gustado los gestores de contraseñas, es como meter todos los huevos en la misma cesta.

O en el mismo calzoncillo.

[xmigoll]

Yo es que como contraseña siempre pongo el número pi, con 20 dígitos salteados, saltando Dos si es par y resto uno siendo impar + el número de años que tengo + un par de caracteres especiales + algún nombre con mayúsculas y minúsculas. Segura de cojones.
Ahora, también digo que nunca me acuerdo de la contraseña.