研究：主流云端密码管理器存在安全风险 ^{CEFR B1}

密码管理器帮助用户记住大量密码，并把敏感登录信息保存在加密的“保险库”中。云端服务方便同步和共享，但也带来额外风险。

苏黎世联邦理工学院（ETH Zurich）应用密码学小组的研究人员对 Bitwarden、Lastpass 和 Dashlane 展开测试。团队在模拟被攻破的服务器环境中进行研究，展示了多种攻击方式，攻击目标从单个用户的保险库到组织内所有保险库不等。在大多数测试中，研究人员能访问用户密码，并在某些情况下修改密码。

团队发现，为提高用户体验而加入的功能（例如密码恢复和共享）增加了代码复杂性并扩大了攻击面。他们按负责任披露的程序联系了相关提供商并给予 90 天的修复时间；大多数厂商配合，但并非所有公司都迅速行动。研究人员建议厂商改进更新和迁移流程，并提高安全透明度。