109/69 (IT) ประจำวันอังคารที่ 24 กุมภาพันธ์ 2569
ทีมนักวิจัยจาก ETH Zurich และ Università della Svizzera italiana นำโดยศาสตราจารย์ Kenneth Paterson ตีแผ่ความจริงที่น่าตกใจเกี่ยวกับบริการจัดการรหัสผ่าน (Password Managers) ยอดนิยมอย่าง Bitwarden, LastPass และ Dashlane โดยพบว่าคำโฆษณาเรื่อง “Zero-Knowledge Encryption” หรือการที่ผู้ให้บริการไม่สามารถเข้าถึงข้อมูลเราได้นั้น อาจไม่ปลอดภัย 100% อย่างที่คิด นักวิจัยสามารถสาธิตการโจมตีได้ถึง 27 รูปแบบ ซึ่งพิสูจน์ให้เห็นว่าหากเซิร์ฟเวอร์ของผู้ให้บริการเหล่านี้ถูกผู้ไม่หวังดีควบคุมได้ ข้อมูลรหัสผ่านที่ถูกเข้ารหัสไว้ใน “Vault” ก็อาจถูกถอดรหัสออกมาได้อย่างง่ายดาย
กลไกการโจมตีที่น่ากังวลที่สุดคือการใช้ “Malicious Server Model” หรือการที่เซิร์ฟเวอร์ที่ถูกแฮกส่งคำสั่งหลอกให้แอปพลิเคชันบนเครื่องผู้ใช้คายข้อมูลออกมาเอง เช่น ช่องโหว่ “Field Swap” ใน Bitwarden และ LastPass ที่แฮกเกอร์สามารถสลับตำแหน่งข้อมูลรหัสผ่านที่เข้ารหัสไว้ไปอยู่ในช่อง URL จนแอปฯ เผลอส่งรหัสที่ถอดแล้วไปให้แอปภายนอกขณะโหลดไอคอนเว็บไซต์ หรือการใช้ช่องโหว่ด้าน “Backwards Compatibility” ที่ระบบยอมให้ใช้วิธีเข้ารหัสแบบเก่าเมื่อ 15 ปีที่แล้ว ซึ่งมีความอ่อนจนแฮกเกอร์สามารถเดารหัสผ่านได้แบบ Byte-by-Byte นอกจากนี้ยังมีช่องโหว่ในการแชร์ข้อมูล (Sharing) และการกู้คืนบัญชีที่ทำให้แฮกเกอร์แฝงตัวเข้ามารับสิทธิ์ในการถอดรหัส Master Key ของผู้ใช้ได้โดยที่ระบบ “เชื่อใจ” เซิร์ฟเวอร์อย่างหลับหูหลับตา
อย่างไรก็ตาม ผลการวิจัยระบุว่า 1Password เป็นบริการที่มีความปลอดภัยสูงสุดในกลุ่ม เนื่องจากมีการใช้ Secret Key ซึ่งเป็นรหัสชุดที่สองที่เก็บไว้บนอุปกรณ์ของผู้ใช้เท่านั้น ทำให้การโจมตีจากฝั่งเซิร์ฟเวอร์แทบจะเป็นไปไม่ได้ในทางคณิตศาสตร์ แม้เซิร์ฟเวอร์บริษัทจะถูกยึดก็ตาม ทั้งนี้ หลังจากผ่านช่วงเวลาแจ้งเตือน 90 วัน ทาง Dashlane และ Bitwarden ได้เริ่มออกอัปเดตเพื่อปิดช่องโหว่เหล่านี้แล้ว ผู้เชี่ยวชาญจึงแนะนำให้ผู้ใช้ รีบอัปเดตแอปพลิเคชันให้เป็นเวอร์ชันล่าสุดทันที และหากเป็นไปได้ควรเปิดใช้งาน Hardware Security Key (เช่น YubiKey) เพื่อเพิ่มเลเยอร์ความปลอดภัยทางกายภาพที่แฮกเกอร์ทางไกลไม่สามารถเจาะผ่านได้
แหล่งข่าว https://hackread.com/researchers-demonstrate-password-managers-attacks/
