Windows 10 ora ha un gestore di password, ma è buggato

Il nuovo password manager di Edge contiene una falla vecchia di 16 mesi.



[ZEUS News - www.zeusnews.it - 20-12-2017]

windows 10 password bug keeper

Con la necessità di avere diverse password per tutti i servizi online, l'utilizzo di un programma che le gestisca (password manager) è senz'altro una buona idea.

L'idea è così buona che Microsoft ha pensato di integrare in Windows 10, senza troppa pubblicità, un gestore di password da usare come plugin per il browser Edge.

Il gestore in questione si chiama Keeper e la sua presenza è stata notata da Tavis Ormandy, esperto di sicurezza che lavora per Google, quando ha creato una macchina virtuale Windows 10 partendo da un'immagine presa dal Microsoft Developer Network (Msdn).

Fin qui la notizia potrebbe essere persino l'occasione per lodare Microsoft, che si impegna a fornire ai suoi utenti nuovi strumenti per facilitare il proprio lavoro, ma sfortunatamente non è questo il caso.

Ormandy ha infatti notato che questa versione di Keeper, che non è sviluppato direttamente da Microsoft ed esiste da tempo come prodotto indipendente, contiene un bug segnalato agli sviluppatori da Ormandy stesso quasi un anno e mezzo fa.

Il bug è piuttosto grave per un gestore di password e, per usare le parole di Tavis Ormandy, comporta «una completa violazione della sicurezza di Keeper, dato che permette a qualunque sito di rubare qualsiasi password».

Sondaggio
Utilizzi la funzione di salvataggio delle password nel browser?
Sì, è molto utile
Sì, ma ora non lo farò più perché non è sicuro.
Sì, ma solo per password di poco conto.
No, per sicurezza non ho mai memorizzato alcuna password nel browser.
No, perché? Le password si possono salvare?

Mostra i risultati (5874 voti)
Leggi i commenti (17)

Il sistema scoperto per sfruttare la falla 16 mesi fa è tuttora valido con poche modifiche, ma fortunatamente il produttore ha corretto la vulnerabilità rilasciando una versione aggiornata.

Microsoft ha fatto sapere di essersi tenuta al corrente su tutta la faccenda e di aver ricevuto l'aggiornamento prodotto dallo sviluppatore così da poterlo inserire in Windows 10.

Si potrebbe quindi essere portati a pensare che tutto si sia risolto e che, in fondo, il gigante di Redmond in tutto ciò non abbia alcuna colpa, dato che il programma fallato era ed è gestito da un produttore esterno.

Tuttavia, se Ormandy ha scovato il bug così facilmente, ci si chiede perché il team interno di Microsoft addetto alla sicurezza non abbia fatto altrettanto, permettendo che un plugin insicuro riuscisse a farsi strada in Windows 10.

Peraltro, il fatto che il gestore di password buggato sia stato inserito senza clamore nel sistema operativo (seppur in una versione ottenuta da Msdn) porta a mettere in dubbio la cieca fiducia che sta per forza di cose alla base della politica degli aggiornamenti continui di Windows 10: chi garantisce che prossimamente qualche altro componente insicuro non venga immesso nel sistema senza informare gli utenti?

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Falla in LastPass, password a rischio
Le app per gestire le password

Commenti all'articolo (2)

L'hanno messo ma, siccome non erano poi così sicuri che andasse bene, non lo hanno detto a nessuno così rimaneva nascosto e, se aveva problemi, nessuno si faceva male... o forse no? :-k Se non facessero tutti sti danni sarebbero anche da compatire... poverini. :umpf:
24-12-2017 11:10

{ormony}
"Tuttavia, se Ormandy ha scovato il bug così facilmente, ci si chiede perché il team interno di Microsoft addetto alla sicurezza non abbia fatto altrettanto".... ...visto che "Microsoft ha fatto sapere di essersi tenuta al corrente su tutta la faccenda". Quindi Microsoft per 16 mesi non ha fatto niente... Leggi tutto
23-12-2017 17:36

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Quali sono i rischi maggiori del cloud computing?
Distributed Denial of Service (DDoS): cresce l'impatto dei tempi di indisponibilità di un sito web, che possono costare perdite di milioni di euro in termini di introiti, produttività e immagine aziendale.
Frode: perpetrata da malintenzionati con l'obiettivo di trafugare i dati di un sito e creare storefront illegittimi, o da truffatori che intendono impadronirsi di numeri di carte di credito, la frode tende a colpire - prima o poi - tutte le aziende.
Violazione dei dati: le aziende tendono a consolidare i dati nelle applicazioni web (dati delle carte di credito ma anche di intellectual property, ad esempio); gli attacchi informatici bersagliano i siti e le infrastrutture che le supportano.
Malware del desktop: un malintenzionato riesce ad accedere a un desktop aziendale, approfittandone per attaccare i fornitori o le risorse interne o per visualizzare dati protetti. Come il trojan Zeus, che prende il controllo del browser dell'utente.
Tecnologie dirompenti: pur non essendo minacce nel senso stretto del termine, tecnologie come le applicazioni mobile e il trend del BYOD (bring-your-own-device) stanno cambiando le regole a cui le aziende si sono attenute sino a oggi.

Mostra i risultati (1298 voti)
Dicembre 2021
Antitrust, 30 aziende contro Microsoft per colpa di OneDrive
Novembre 2021
L'app va in crash, e la Tesla non parte più
La Rete telefonica italiana agli americani di KKR
Se il furgone di Amazon ti tampona... la colpa è di Amazon!
Il Blue Screen of Death... ritorna blu
MediaWorld sotto attacco ransomware: hacker vogliono 200 milioni in bitcoin
SPID con le Poste, il riconoscimento adesso si paga
Facebook rinuncia ufficialmente al riconoscimento facciale
Ottobre 2021
Il Nobel ad Assange
Windows 11, finalmente si possono eseguire anche le app Android
FreeOffice 2021, la suite gratuita compatibile con Microsoft Office
Apple presenta i MacBook Pro con il notch
UE, addio all'anonimato per i domini Internet
Windows 11 è disponibile. Ecco come installarlo anche senza TPM
I disservizi di Facebook costano a Mark Zuckerberg 6 miliardi
Tutti gli Arretrati
Accadde oggi - 4 dicembre


web metrics