Pesquisador: Chrome, administradores de senha do Safari precisam de trabalho

Dois anos atrás, Chapin relatou uma falha no gerenciador de senhas amplamente divulgada no navegador Firefox, classificada como crítica pelos desenvolvedores da Mozilla. O bug foi usado por invasores no site MySpace.com que haviam criado uma página de login falsa para roubar informações de contas de usuários do site de redes sociais.

[Outras leituras: Como remover malware do seu PC com Windows]

O Firefox já fez muito para melhorar seu gerenciador de senhas, mas todos esses produtos ainda estão longe da perfeição, disse Chapin em uma entrevista. "Todos devem depositar 100% de confiança implícita em todos os gerenciadores de senhas?" ele perguntou. "Nem um pouco."

Um problema é que os gerenciadores de senha de hoje podem ser induzidos a enviar credenciais de senha diferentes para diferentes partes do mesmo site. Isso é o que os hackers fizeram com o ataque ao MySpace, postando um falso formulário de entrada de senha em uma página do MySpace. Como os formulários de login falso e real estavam no domínio myspace.com, navegadores como o Firefox poderiam ser enganados para enviar automaticamente as informações de login para os fraudadores. Esse bug foi corrigido no Firefox agora, mas o Chrome e o Safari ainda estão vulneráveis ​​a ataques semelhantes.

Outro problema é que os navegadores enviam senhas para um domínio, Google.com, por exemplo, para outro domínio - digamos, Myspace. com - sem avisar o usuário, ele disse. Isso porque os fabricantes de navegadores assumem que a página pedindo a senha deve ser confiável, mesmo que esteja enviando a senha para outro domínio, disse ele.

Chapin diz que usa o gerenciador de senhas do Opera porque faz um trabalho melhor em deixá-lo salvar senhas para páginas da Web específicas. Ele postou um teste on-line onde os usuários podem testar a segurança de seus próprios gerenciadores de senhas. Robert Hansen, CEO da SecTheory, consultora de segurança da Web, disse que a comunidade de segurança sabe há vários anos que os gerenciadores de senhas não são seguros. Isso ocorre principalmente porque os próprios navegadores são vulneráveis ​​a muitos tipos diferentes de ataques. "Eles não são uma ótima idéia do ponto de vista da segurança, uma vez que estão integrados ao navegador", disse ele por mensagem instantânea. "O navegador em si não foi projetado para impedir uma grande quantidade de explorações que permitem o roubo do gerenciador de senhas. Sem essas explorações, os hacks de gerenciadores de senha não funcionariam."