Forscher entdecken Schwachstellen bei Passwortmanagern ^{CEFR B2}

Forscher der Applied Cryptography Group an der ETH Zürich untersuchten drei weit verbreitete cloudbasierte Passwortmanager und analysierten deren Verhalten unter einem bösartigen Server‑Bedrohungsmodell. Zum Team gehörten Matilda Backendal, Matteo Scarlata, Kenneth Paterson und Giovanni Torrisi; Backendal und Torrisi arbeiten derzeit an der Università della Svizzera italiana in Lugano.

Die Forschenden setzten gehackte Server ein und zeigten Angriffe, die in einigen Fällen den Zugriff auf einzelne Nutzer‑Tresore und in anderen Fällen die vollständige Kompromittierung aller Tresore in einer Organisation ermöglichten. In den meisten Fällen war es möglich, Passwörter auszulesen und teilweise zu ändern. Die Attacken nutzten einfache Interaktionen, die Nutzer ohnehin ausführen, etwa Einloggen, Öffnen des Tresors oder Synchronisieren.

Vor der Veröffentlichung folgten sie dem Prinzip verantwortlicher Offenlegung und gaben den Anbietern 90 Tage Zeit zur Behebung. Die Forscher empfahlen, neue Systeme zu aktualisieren, bestehenden Kunden eine Migrationswahl zu bieten und offen über Sicherheit zu informieren. Außerdem raten sie, Anbieter zu bevorzugen, die externe Prüfungen haben und End‑to‑End‑Verschlüsselung standardmäßig aktivieren. Paterson betonte: "Wir möchten mit unserer Arbeit dazu beitragen, Veränderungen in dieser Branche herbeizuführen." Quelle: ETH Zurich.