Het is een uitdaging om al uw wachtwoorden voor al uw online accounts te onthouden en daarom bestaan er wachtwoordmanagers zoals LastPass, Dashlane en 1Password. Maar deze enorme versleutelde databases met gebruikersnamen en wachtwoorden zijn de voornaamste doelwitten voor criminelen en veel van de programma's hebben te lijden gehad van inbreuken.
Deze week gratis wachtwoordbeheerder KeePass heeft op haar site aangekondigd dat er is een kwetsbaarheid in zijn software en hackers kunnen valse software-updates met malware naar gebruikers sturen door zich voor te doen als de nieuwe KeePass-software. KeePass gebruikt niet-versleuteld Hypertext Transfer Protocol (HTTP) in plaats van de beveiligde versie HTTPS. (Als je niet weet wat HTTP en HTTPS zijn, kijk dan eens naar de URL van deze pagina. HTTPS is het protocol dat gegevens host die tussen een internetbrowser en websites worden verzonden. HTTPS is veilig en verifieert elke website en de server om zeker dat een kwaadaardige site zich niet voordoet als een legitieme.)
Beveiligingsonderzoeker Florian Bogner vertelt LifeHacker dat omdat KeePass HTTP gebruikt voor software-updates, oplichters een nep-update kunnen maken die is verrijkt met schadelijke software.
KeePass legt op zijn site uit:
Het versie-informatiebestand wordt via HTTP gedownload van de KeePass-website. Dus een man in het midden (iemand die je verbinding met de KeePass-website kan onderscheppen) kan een onjuist versie-informatiebestand hebben geretourneerd, waardoor KeePass mogelijk een melding weergeeft dat er een nieuwe KeePass-versie beschikbaar is.
KeePass zegt dat het feit dat een hacker je een nep-update met malware erin stuurt, niet betekent dat de aanval in gang is gezet omdat KeePass geen automatische updates host. KeePass-gebruikers moeten handmatig een nieuwe versie downloaden. KeePass zegt dat gebruikers de digitale handtekening moeten controleren en als er malware aanwezig is, deze niet downloaden.
Bekijk de onderstaande video van Bogner voor meer informatie over het controleren van een digitale handtekening:
