ต้นเดือนนี้ เราเห็นผู้เชี่ยวชาญไซเบอร์เซียร์ต่างๆ โห่ร้องเรื่องการรั่วไหลของ Vault 7 ที่ทุกอย่างจากเครื่องมือแฮกของ CIA จนถึงการสำรวจ "meme magic" ถูกโยนลง WikiLeaks ให้โลกเห็น
ผ่านไปไม่กี่สัปดาห์ มีนาคมยังคงเป็นเดือนที่เต็มไปด้วยเหตุการณ์ บั๊กในส่วนขยายเบราว์เซอร์ของ LastPass อาจอนุญาตให้แฮกเกอร์ขโมยรหัสผ่านจากผู้ใช้ที่ไม่รู้ตัว
บั๊กที่พบ
บั๊กในส่วนขยาย Google Chrome ของ LastPass ถูกค้นพบโดย Tavis Ormandy สมาชิก Project Zero ของ Google ในวันจันทร์ บั๊กแรก – อนุญาตให้แฮกเกอร์เขียนโค้ดขณะแฮกการสื่อสารของคอมพิวเตอร์คุณกับเซิร์ฟเวอร์ที่คุณล็อกอินเข้าไป และเข้าถึงรหัสผ่านของคุณ – พบในรายงานนี้ รวมถึงโค้ด proof-of-concept หากสนใจ
บั๊กอีกตัวที่ Ormandy พบ อยู่ในส่วนขยาย Firefox รุ่น 3.3.2 (เก่าแต่นิยมมาก) อนุญาตให้แฮกเกอร์รัน cross-site script แบบ universal เพื่อเปิดเผยรหัสผ่านผ่านการแจ้งเตือน
วันอังคาร LastPress ทำให้โดเมนบริการภายในที่รับผิดชอบโอนข้อมูลยืนยันตัวตนปรากฏว่าไม่มีอยู่จริง (NXDOMAIN) ขณะสืบสวน ปิดประกาศวันพุธว่าซ่อมแซมปัญหาในส่วนขยาย Chrome แล้ว
สำหรับส่วนขยาย Firefox พวกเขาทิ้งไว้เหมือนเดิม เนื่องจากสาขา 3.x จะถูกเลิกใช้ในเมษายน anyway พวกเขาระบุเปิดเผยในประกาศ: "บั๊กนี้รายงานให้ทีมเราเมื่อปีที่แล้ว และซ่อมแซมไปแล้วในขณะนั้น แต่การแก้ไขไม่ได้ถูก push ลงสาขา Firefox 3.3.x เก่า ซึ่งได้วางแผนเลิกใช้อย่างเป็นทางการในเมษายน"
สิ่งที่คุณควรทำ
หากคุณใช้บริการ LastPass ขอแนะนำให้แน่ใจว่าส่วนขยายเบราว์เซอร์ของคุณอัปเดตล่าสุดแล้ว นอกจากนี้ ไม่มีภัยคุกคามทันทีที่ต้องตกใจ โดยทั่วไป คุณควรทำเช่นนี้กับส่วนขยายทั้งหมด โดยค่าเริ่มต้น Chrome และ Firefox จะอัปเดตให้อัตโนมัติ หากคุณปิดการอัปเดตอัตโนมัติ อาจเป็นเวลาที่ควรพิจารณาใหม่
แต่กังวลเรื่องใหญ่กว่านี้...
การพูดอย่างนี้อาจไม่ได้คะแนนในสภาพอากาศอุตสาหกรรมเทควันนี้ แต่ต้องพูด: ความสะดวกและความปลอดภัย มักเป็น dichotomy (สองข้อกลับกัน) ผู้แสดงความคิดเห็นประจำของเราเคยพูดคล้ายกันตอนเรารีพอร์ตการรั่วไหล Vault 7 ของ CIA
เมื่อเราเริ่มใกล้ชิดกับเทคโนโลยีมากขึ้น (เช่น แชร์รหัสผ่าน ข้อมูลส่วนตัว) เรากำลังให้แฮกเกอร์อีกหนึ่งทางบุกรุกเรา การรั่วไหลเกิดขึ้นเพราะเราเชื่อมั่นเทคโนโลยีก่อนที่จะถามตัวเองว่ามันปกป้องเราจากอันตรายได้จริงไหม
LastPass เป็นบริการที่ทำทุกอย่างเพื่อให้ผู้ใช้เชื่อมั่นได้ว่ามันเก็บรหัสผ่าน – กุญแจสำคัญของการมีอยู่ออนไลน์ – ให้ปลอดภัย แต่ด้วยเกียรติที่สมควร เราต้องถามตัวเอง: ถ้าวันหนึ่งเราไม่ได้โชคดีที่บั๊กถูกซ่อมก่อนถูกโจมตี ล่ะ? ถ้าปัญหาไม่คาดคิดในโค้ดแอปพลิเคชันปล่อยให้แฮกเกอร์เลี้ยงดูและเห็นข้อมูลทั้งหมดของคุณอยู่อย่างโปร่งโล่ง?
การบุกรุก LastPress เกิดขึ้นมาก่อนหน้านี้ ครั้งล่าสุด 2558 หลังจากนั้น กรกฎาคม 2559 แฮกเกอร์ที่น่ารักกว่าตัดสินใจเปิดเผยบั๊กที่อาจถูก exploit สู่สาธารณะ
จุดสำคัญคือ คุณไม่ควรปล่อยให้นิ่งภัทร แน่นอน หลาย exploits ถูก誇大มากกว่าควร แต่คุณควรตระหนักว่าคุณกำลังเดินเข้าเขตอันตรายทุกครั้งที่ให้ข้อมูลส่วนตัวกับบริการ บางครั้งประโยชน์มากกว่าความเสี่ยง แต่แค่คุณเท่านั้นที่ตัดสินใจได้เมื่อคุณได้รับข้อมูลครบถ้วน
คุณใช้ Password Manager ไหม? รู้สึกอย่างไรกับความเป็นไปได้ที่บริการที่ใช้จะถูกรั่วไหล? บอกเราในความคิดเห็น!
