人気クラウド型パスワードマネージャーの脆弱性 ^{CEFR B1}

多くの人が数多くのパスワードを管理するためにクラウド型パスワードマネージャーを利用しています。ETH ZurichのApplied Cryptography Groupの研究者は、Bitwarden、LastPass、Dashlaneの三社を調査しました。三社は合わせて約60 millionの利用者にサービスを提供し、23%の市場シェアを持ちます。

研究チームはサーバーが侵害され、悪意を持って振る舞う場合の動作を検証しました。模擬環境を使い、悪意あるサーバーを想定する脅威モデルで試験を行い、Bitwardenに対する12件、LastPassに対する7件、Dashlaneに対する6件の攻撃を実証しました。攻撃は単一のボールトを狙うものから組織全体を乗っ取るものまであり、通常のログインやボールトの開封といった簡単な操作を利用しました。

研究者は脆弱性の深刻さに驚き、使いやすさを追求する機能追加が攻撃対象を広げていると指摘しました。彼らは提供者へ責任ある開示を行い、修正の猶予を与えました。