أفضل مديري كلمة المرور المعرضين لخطر الهجوم

من المفترض أن يقوم مديرو كلمات المرور بحماية كلمات المرور والمعلومات الحساسة ، ولكن يمكن معالجتها في بعض الأحيان للكشف عن البيانات للمهاجمين. يمكن لتقنية النقرات المستندة إلى DOM التي تم الإبلاغ عنها مؤخرًا خداع بعض مديري كلمة المرور في بيانات الاعتماد التلقائي في نماذج مزيفة. إليك كيفية عمل الهجوم وما يمكنك فعله لحماية نفسك.

كيف يكون مديرو كلمة المرور عرضة للخطر

سمح استغلال كائن المستند (DOM) بإنشاء متغير النقر الذي يمكن أن يسمح للممثلين الخبيثين بإحداث ميزة مديري كلمة المرور التلقائي لسرقة المعلومات الحساسة ، بما في ذلك كلمات المرور ، ورموز TOTP/2FA ، وبيانات بطاقة الائتمان ، وما إلى ذلك. فيما يلي كيفية عمل الهجوم:

1. يزور الضحية صفحة تسيطر عليها الهجوم تعرض عنصرًا عاديًا قابلاً للنقر ، مثل لافتة موافقة ملفات تعريف الارتباط أو زر “إغلاق” على نافذة منبثقة.
2. تضع الصفحة الضارة سراً نموذجًا غير مرئي في موقع الكائن القابل للنقر عن طريق استغلال رؤية DOM (الإعداد opacity:0).
3. عندما ينقر المستخدم ، يملأ ملحق Manager الذي تم تثبيته تلقائيًا تفاصيل طلبات النموذج ، والتي يمكن للمتسللين سرقةها.

كل هذا يحدث بشكل خلفي ، ولم يكتشف المستخدم أبداً بيانات اعتماده. اختبر التقرير الأصلي 11 من أفضل مديري كلمة المرور ، ولكن من الآمن افتراض أنه ينطبق على معظم مديري كلمات المرور الذين لديهم وظيفة ملء تلقائي. بعد التقرير ، أصدر العديد من مديري كلمة المرور تصحيحات لإضافة موجه تأكيد للمطالب التلقائية ، لكن بعضها لا يزال ضعيفًا.

وحتى مع ذلك ، فإن معظم تصحيحات مدير كلمة المرور هي ببساطة إصلاحات الإسعافات الإسعافية ، لأنها لا تحدد المشكلة الأساسية بسبب الطريقة التي تقدم بها المتصفحات صفحات الويب. كما أشار 1Password ، “تكمن القضية الأساسية في الطريقة التي تقدم بها المتصفحات صفحات الويب ، نعتقد أنه لا يوجد حل تقني شامل يمكن أن توفره امتدادات المتصفح بمفردهم.“.

بصرف النظر عن تحديث ملحق مدير كلمة المرور إلى أحدث إصدار ، اتبع التدابير أدناه لحماية نفسك من هجمات النقرات هذه.

تعطيل الملء التلقائي في ملحق مدير كلمة المرور الخاص بك

التلقائيات التلقائية هي الوظيفة الرئيسية التي يستغلها هذا الهجوم. افتراضيًا ، يقوم مديرو كلمة المرور بملء الحقول تلقائيًا عند النقر عليها. يمكنك إيقاف تشغيل هذا السلوك لمنع الاستغلال. بعد ذلك ، سيتعين عليك النقر فوق زر معين عندما يكون الحقل في حالة تركيز لملئه يدويًا.

كل ما عليك فعله هو الانتقال إلى إعدادات Extension Manager وتعطيل وظيفة الملء التلقائي. يجب أن يكون التبديل تحت الملء التلقائي وحفظ (أو ما شابه) قسم يعطل الملء التلقائي على التركيز.

اضبط الامتدادات على النقر أو على مواقع محددة

لدى المتصفحات خيار لفرض تمديد للتنشيط فقط على موقع ويب معين أو عند النقر على أيقونة الامتداد. يمكنك استخدام هذه الخيارات للحفاظ على تعطيل مدير كلمة المرور على جميع مواقع الويب التي ليس من المفترض أن تملأ حقل كلمة المرور. سيتطلب ذلك بعض الإعدادات أو النقرات الإضافية ، ولكنه سيضمن عدم وجود هجوم يمكن أن يستغل مدير كلمة المرور.

افتح متصفحك الامتدادات صفحة وفتح صفحة التفاصيل الخاصة بمدير كلمة المرور. هنا ، ستجد الوصول إلى الموقع قسم مع على جميع المواقع تم اختياره بشكل افتراضي. يجب أن تختار على النقر أو على مواقع محددة هنا ، اعتمادًا على تفضيلاتك. بنقرة ، لن يتم تنشيط مدير كلمة المرور إلا عند النقر فوق أيقونة شريط الأدوات الخاص به ، ومع خيار مواقع محددة ، فإنه سيعمل فقط على مواقع الويب المحددة والبقاء معاقين على الآخرين.

تفضل استخدام تطبيق سطح المكتب/الجوال بدلاً من التمديد

تقتصر هجمات النقرات هذه على امتداد مدير كلمة المرور التي تتمثل في تلقائيات المعلومات أو يملأها عند القيادة. إذا كنت ترغب في تقليل المخاطر وما زلت ترغب في استخدام مدير كلمة المرور ، فاستخدم تطبيق سطح المكتب/الهاتف المحمول المقترن بدلاً من ذلك.

ستوفر معظم تطبيقات مدير كلمة المرور وظيفة بحث ونسخ سهلة لجعل عملية الدخول اليدوي أسهل. عندما تكون على صفحة تسجيل الدخول ، ما عليك سوى البحث وانقر فوق الزر COPY الموجود بجوار الإدخال في تطبيق Manager لاستخدامه.

استخدم ملحق مانع البرامج النصية

تعتمد معظم هذه الهجمات اعتمادًا كبيرًا على البرامج النصية على الصفحة لتعمل ، وهذا هو السبب في أن حظر البرنامج النصي يعتبر أحد أفضل الطرق للبقاء آمنًا عبر الإنترنت. يعد حظر JavaScript فعالًا لهذا الهجوم ، لكننا نوصي بحظر جميع البرامج النصية على المجالات غير الموثوقة للحصول على أفضل حماية.

Noscript هو امتداد رائع لهذا الغرض ، وهو متاح لكل من Chrome و Firefox. بشكل افتراضي ، ستحظر جميع أنواع البرامج النصية النشطة ، بما في ذلك JavaScript ، والكائنات المدمجة ، والوسائط ، وما إلى ذلك. يمكنك بعد ذلك تمكين البرامج النصية على مواقع الويب التي تثق بها.

المكافأة: حسابات آمنة بشكل صحيح

أفضل حماية ضد أي هجوم لسرقة الاعتماد هو استخدام طريقة حماية ثانوية لا يمكن سرقتها بسهولة. 2FA هو أفضل رهان لك ، لكنك تحتاج إلى طريقة 2FA موثوقة ؛ التحقق من الرسائل القصيرة لا يكفي. TOTP بداية جيدة ، ولكن تأكد من أن لديك تطبيق المصادقة على جهاز منفصل. علاوة على ذلك ، يكون مفتاح المرور أفضل من 2FA العادي ، خاصة إذا كنت تستخدم مفتاح أمان الأجهزة المخصص.

لتقليل سطح الهجوم ، حاول تجنب الاعتماد على حلول تسجيل الدخول التلقائية. قد يكون من المريح بعض الشيء القيام بنقرة إضافية أو اثنين ، ولكن الأمر يستحق الأمان. هذا مهم بشكل خاص إذا كنت تستخدم مديري كلمة المرور لتخزين جميع المعلومات الحساسة.