Если вы думали, что использование основанного на программном обеспечении менеджера пароля - это хороший способ запомнить сложные и надежные пароли, не опасаясь по поводу их кражи, вам стоит задуматься еще раз.

Исследователи из калифорнийского Унивеситета Беркли обнаружили грубые дыры в пяти основанных на веб-технологиях менеджерах паролей, которые были ими протестированы, включая популярный сервис LastPass. К счастью, четыре из пяти разработчиков менеджеров паролей с тех пор исправили эти уязвимости, однако все это лишь показывает, что прорехи могут быть найдены даже в самых "надежных" программах.

Согласно исследованиям самые серьезные проблемы были найдены в приложении LastPass - здесь хакер мог выкрасть незашифрованные пароли с любого сайта, хранящиеся в пользовательской базе данных. Поскольку жертва использует функцию bookmarklet, позволяющую вводить пароли автоматически на веб-сайты, вредоносный код превращает кражу данных в детскую забаву.

LastPass также содержал и другую уязвимость, которую обнаружили исследователи. В результате этой уязвимости вся зашифрованная база данных могла оказаться в руках у злоумышленника, которому достаточно для этого было знать лишь адрес электронной почты жертвы. Хакеры затем могли спокойно пытаться взломать базу данных оффлайн, хотя это и было бы сопряжено со многими трудностями.

Эта же уязвимость позволяла хакерам обнаружить все сайты, в рамках которых пользователь использовал программу LastPass, что давало возможность хакерам попытаться заставить сайт запустить вредоносный код. LastPass с тех пор закрыл все уязвимости и отметает все заявления о том, что этими уязвимостями могло воспользоваться очень большое количество хакеров.

Четыре других менеджера паролей, которые были протестированы - RoboForm, My1login, NeedMyPassword и Password Box - также содержали уязвимости различной степени тяжести. Все разработчики вышеуказанных приложений, за исключением NeedMyPassword, контактировали с исследователями и закрыли все уязвимости.

Хотя исследователи и не тестировали другие известные менеджеры паролей, нет никаких данных и уверенности в том, что они были более хорошо защищены и надежны.

Использование менеджера паролей все же безопаснее, чем использование одного пароля для всех сайтов, поскольку ориентированные на безопасность такие программы взломать сложнее.