研究：主流云端密码管理器存在安全风险 ^{CEFR B2}

越来越多用户依赖云端密码管理器来保存网银、信用卡等敏感登录信息，这些数据通常存放在本地或云端的加密保险库中，方便在多设备间同步和与家庭成员共享。但云端设计也令服务在服务器被攻破时面临更大的风险。

苏黎世联邦理工学院（ETH Zurich）应用密码学小组的研究人员对三款主流云端管理器——Bitwarden、Lastpass 和 Dashlane——进行了系统测试。研究团队由 Matilda Backendal、Matteo Scarlata、Kenneth Paterson 和 Giovanni Torrisi 组成（其中 Backendal 和 Torrisi 现于卢加诺的 Università della Svizzera italiana 工作）。三家服务合计约为 6000 万用户提供服务，占市场份额约 23%。

研究者在模拟被攻破的服务器威胁模型下展示了多项攻击：对 Bitwarden 的 12 种攻击、Lastpass 的 7 种以及 Dashlane 的 6 种。攻击手段覆盖从针对单个用户保险库到完全攻破一个组织所有保险库的范围，且多数攻击利用用户日常会做的简单交互，例如登录、打开保险库、查看密码或同步数据。在很多情况下，团队能够读取用户密码，某些情况下还能修改密码。

研究团队指出，部分厂商为改善易用性而加入的密码恢复和共享功能，使代码结构更复杂、攻击面增大；他们还注意到一些提供商仍在使用上世纪九十年代的加密技术。团队遵循负责任披露流程，公开前联系了相关提供商并给予 90 天修复期；大多数厂商配合但行动速度不一，开发者也担心更新会影响用户数据访问。研究建议包括为新用户更新系统、为现有用户提供迁移选择并提高安全透明度；同时建议用户优先选择接受外部审计且默认启用端到端加密的管理器。Paterson 表示：“我们希望我们的工作能促进行业的改变。” 来源：ETH Zurich。