Компания Google представила безопасную синхронизацию ключей доступа (passkeys) с расширенной поддержкой различных платформ. Помимо устройств Android теперь можно сохранять ключи доступа в Google Password Manager из Windows, macOS, Linux и Android с помощью PIN-кода.

Источник изображения: Copilot

Одним из главных нововведений, пишет The Verge, стала упрощённая синхронизация ключей доступа между различными устройствами. Ранее для их использования на других платформах требовалось сканирование QR-кода. Теперь этот процесс заменён вводом PIN-кода, что должно значительно упростить сохранение и использование паролей на устройствах, отличных от Android.

«Сегодня мы выпускаем обновления, которые ещё больше упростят использование ключей доступа на ваших устройствах. Теперь вы можете сохранять их в Google Password Manager из Windows, macOS, Linux и Android, а также ChromeOS в бета-версии. После сохранения ключи доступа автоматически синхронизируются на всех устройствах, что делает вход в систему таким же простым, как сканирование отпечатка пальца», — говорится в блоге Google.

Источник изображения: Google

Новый PIN-код не только делает процесс аутентификации более удобным, но и сохраняет высокий уровень безопасности. Ключи доступа по-прежнему защищены сквозным шифрованием, что гарантирует их недоступность даже для Google. Чтобы их использовать на новом устройстве пользователю достаточно будет разблокировать экран своего Android-устройства или ввести PIN-код для Google Password Manager.

Ожидается, что технология PIN-кодов позволит забыть о сложных паролях и сосредоточиться на более простых, но безопасных методах аутентификации. В компании отмечают, что уже с сегодняшнего дня можно создавать пароли для популярных сайтов и приложений, таких как Google, Amazon, PayPal и WhatsApp, так как Google Password Manager встроен в устройства Chrome и Android.

В рамках ежегодно мероприятия WWDC компания Apple анонсировала ряд любопытных новинок, одной из которых стало приложение «Пароли» (Passwords). Данный инструмент расширяет возможности сервиса iCloud Keychain и позволяет синхронизировать учётные данные на большем количестве устройств.

Источник изображения: Apple

Приложение «Пароли» будет доступно на различных устройствах Apple, включая гарнитуру смешанной реальности Vision Pro, компьютеры Mac, смартфоны iPhone и планшеты iPad. Приложение также будет доступно на компьютерах с Windows через iCloud для этой ОС. Apple не упомянула, будет ли программный продукт «Пароли» совместим с мобильной ОС Android и браузером Google Chrome.

Пользователи смогут хранить и просматривать пароли от сайтов и приложений, разных сетей Wi-Fi в одном месте и делиться учётными данными с доверенными людьми через приложение «Пароли». Одним из главных преимуществ нового продукта Apple может стать более глубокая интеграция с учётными данными от сервисов компании, чем у других аналогов, таких как 1Password или Bitwarden. Кроме того, для многих пользователей, которые обеспокоены вопросами обеспечения конфиденциальности, Apple может оказаться значительно более надёжным поставщиком услуг, чем, например, сервис LastPass, который неоднократно сталкивался с инцидентами, связанными с утечками данных пользователей.

По сообщениям сетевых источников, компания Apple планирует представить новое приложение под названием «Пароли» (Passwords). Из названия можно понять, что продукт представляет собой менеджер паролей, предназначенный для хранения разных учётных данных. Ожидается, что приложение будет представлено на ежегодной конференции WDC 2024, которая пройдёт на следующей неделе.

Источник изображения: AbsolutVision / Pixabay

В настоящее время пользователи устройств Apple могут хранить свои логины и пароли с помощью сервиса iCloud Keychain. Новое приложение «Пароли» будет синхронизироваться аналогичным образом, но данные учётных записей в нём можно будет разделить на категории. По данным источника, это приложение будет доступно на iPhone, iPad, Vision Pro и Windows. Будет ли оно доступно на устройствах с Android, не упоминается.

Ожидается, что приложение «Пароли» дебютирует в iOS 18, iPadOS 18 и macOS 15. Пользователи также смогут задействовать новинку для генерации паролей, автозаполнения форм и создания кодов аутентификации, таких как у Google. В дополнение к этому Apple на предстоящем мероприятии анонсирует ряд новых функций, включая инструменты на основе искусственного интеллекта и переработанного голосового помощника Siri.

Менеджер паролей Google теперь позволяет делиться паролями с членами семьи, хотя и в ограниченной степени, передаёт Android Authority. Функция доступна только для пользователей, добавленных в одну семейную группу.

Источник изображения: androidauthority.com

«Благодаря этой функции вы теперь сможете безопасно делиться паролями со своей семейной группой в „Менеджере паролей“ Google. Когда вы делитесь паролем, члены вашей семьи получают его копию в своём „Менеджере паролей“ Google — готовую к использованию», — гласит описание на странице техподдержки Google.

Компания анонсировала эту функцию в феврале 2024 года в рамках «Дня безопасного интернета», но развёрнута она лишь сейчас, с обновлением Google Play Services v24.20 от мая 2024 года. Совместное использование паролей строго ограничивается членами семейной группы. Чтобы воспользоваться этой функцией, необходимо создать семейную группу и добавить участников, которые смогут ей пользоваться. В настольной версии она пока не включена, уточняет Android Authority.

Google привела пару примеров, когда функция совместного использования паролей может оказаться полезной. Она пригодится, если два члена семьи пользуются доступом к системе детского сада через одну учётную запись, или когда ребёнок открывает доступ к своим школьным заданиям лишь одному из родителей.

В 2023 году компания NordPass, известная своими решениями для управления паролями, опубликовала свежий рейтинг самых распространённых паролей, и результаты неутешительны. Простейший пароль «123456» возглавил список, тем самым подчёркивая общее пренебрежение пользователей вопросами кибербезопасности. Пароль «password», лидировавший в прошлом году, опустился на 7-е место. Этот рейтинг подчёркивает продолжающуюся тенденцию использования слабых и предсказуемых паролей, что ставит под угрозу цифровую безопасность пользователей.

Источник изображения: AbsolutVision / Pixabay

Анализ рейтинга 200 наиболее распространённых паролей показывает, что большинство из них крайне уязвимы. В топ-10 входят такие простые комбинации, как «123», «1234», «12345», «12345678», «123456789» и «1234567890», а также «Aa123456» и, конечно же, «password». Особенно обескураживает, что эти пароли могут быть взломаны злоумышленниками менее чем за секунду с помощью простых методов брутфорса — подхода к взлому паролей путём перебора всех возможных комбинаций.

Впрочем, есть и исключения, такие как «theworldinyourhand», занимающий 173-е место в рейтинге. Этот пароль практически не поддаётся взлому обычными методами и потребовал бы столетий для его подбора вручную. В то время как пароль «admin», занявший 2-е место, является стандартным на многих устройствах и легко взламывается.

Добавление «123» к «admin» или использование символа «@» между словом и числами значительно увеличивает время взлома. Например, «admin123» и «admin@123» требуют значительно больше времени для подбора. Интересным является факт популярности пароля «Eliska81», занимающего 40-е место в рейтинге, используемого более чем 75 755 людьми. Это подчёркивает, как случайные и неожиданные комбинации могут стать популярными.

Кроме того, стоит отметить, что пароль «admintelecom» находится на 54-м месте. Этот пароль требует около 23 дней для взлома методом брутфорса, что делает его одним из самых безопасных в списке.

Специалисты прогнозируют, что в следующем году список наиболее распространённых паролей останется практически неизменным. От выбора пароля зависит безопасность личных данных и надёжность защиты от несанкционированного доступа. В современном цифровом мире ответственность за сохранность своих данных лежит на каждом пользователе.

Компания Proton AG, разработчик VPN-сервиса Proton VPN и защищённой почты ProtonMail, расширила ассортимент своей продукции, представив на рынке менеджеров паролей собственное решение, обеспечивающее сквозное шифрование и дополнительные механизмы обеспечения безопасности данных.

Источник изображения: Proton AG

Продукт прошёл стадию бета-тестирования и теперь доступен пользователям. Как заявляют в Proton AG, менеджер паролей — «один из самых востребованных сервисов», ожидавшихся клиентами компании. Тем не менее, ему предстоит столкнуться с сильными конкурентами на рынке менеджеров паролей. Для того чтобы получить преимущество, Proton Pass прошёл аудит безопасности германской компании Cure53.

Сообщается, что компания хранит все данные, касающиеся менеджера паролей, на собственных серверах в Швейцарии, при этом информация не только зашифрована, но и защищена «одними из самых сильных законов о конфиденциальности данных». Как и ProtonMail, менеджер паролей обеспечивает сквозное шифрование, особенно информации из полей авторизации, включая имена пользователя, пароли и веб-адреса. Это означает, что просматривать информацию не могут даже сотрудники Proton AG.

Ещё одной полезной функцией является возможность скрыть данные электронной почты. При регистрации нового аккаунта на каком-либо сайте Proton Pass способен передавать случайно сгенерированный подменный адрес электронной почты для дополнительной защиты конфиденциальности. Это предотвращает идентификацию пользователя третьей стороной. Также предусмотрена блокировка трекеров и прочих маркетинговых веб-инструментов.

В популярном менеджере паролей KeePass обнаружена уязвимость, эксплуатация которой позволяет извлечь мастер-пароль из памяти приложения. За счёт этого злоумышленники, которым удалось скомпрометировать устройство жертвы, могут похить все хранящиеся в менеджере пароли, даже если база данных заблокирована.

Источник изображения: hothardware.com

Упомянутая уязвимость отслеживается под идентификатором CVE-2023-3278. Её обнаружил исследователь в сфере информационной безопасности, известный под ником vdohney. Он опубликовал на GitHub краткое описание проблемы и PoC-эксплойт, предполагающий использование уязвимости KeePass. Проблема затрагивает KeePass 2.53 и более ранние версии приложения.

Дело в том, что в KeePass для ввода пароля используется поле SecureTextBoxEx, которое сохраняет вводимые пользователем символы в память в открытом виде. Это означает, что злоумышленнику достаточно завладеть дампом памяти, причём это может быть дамп процесса, файла подкачки pagefile.sys, файла гибернации hiberfil.sys, различных аварийных дампов или дампа памяти всей системы. Также не имеет значения, заблокировано или нет рабочее пространство и запущен ли KeePass.

Эксплойт тестировался в Windows, но, вероятно, его скорректированная версия будет работать и в macOS, так как уязвимость связана с тем, как приложение обрабатывает данные при вводе пароля, а не с самой операционной системой. Ожидается, что уязвимость будет исправлена в KeePass 2.54, запуск которого должен состояться в ближайшие несколько недель.

Proton, наиболее известная своей службой защищённой электронной почты, объявила о выпуске собственного менеджера паролей. Как и другие сервисы компании, в том числе VPN и облачное хранилище, Proton Pass предлагает функцию сквозного шифрования.

Источник изображения: proton.me

Сквозное шифрование означает, что доступ к базе паролей есть только у её владельца, и если в результате вирусной атаки или других действий киберпреступников базу сумеют похитить, прочитать данные без ключа шифрования не получится. Анонсируя бета-версию Proton Pass, глава компании Энди Йен (Andy Yen) подчеркнул важность полного шифрования данных, потому что профиль пользователя кибепреступники могут создать и на основе кажущихся безобидными данных — например, сохранённых URL-адресов.

Первыми доступ к менеджеру паролей получат пользователи тарифов Proton Visionary (те, кто помог запустить сервис посредством краудфандинга в 2014 году) и Lifetime (пожизненный доступ к услугам, разыгрывается каждый год) — им придут приглашения на ящики ProtonMail. Официальная общедоступная версия менеджера паролей выйдет в этом году.

Как и остальные службы компании, Proton Pass будет предлагаться в бесплатной и платной версиях — последняя получит дополнительные функции. Полнофункциональный вариант менеджера паролей будет также доступен подписчикам Proton Unlimited. Proton Pass будет предложен в виде браузерных расширений для Google Chrome и Mozilla Firefox и мобильных приложений под Android и iOS; обещаны поддержка автозаполнения и двухфакторной авторизации.

NortonLifeLock объявила, что за последние несколько недель злоумышленникам удалось скомпрометировать учётные записи тысяч пользователей менеджера паролей Norton Password Manager. В настоящее время компания рассылает соответствующие уведомления клиентам, которых затрагивает данный инцидент.

Согласно имеющимся данным, инцидент произошёл не из-за какой-либо уязвимости в IT-системах компании или программном обеспечении. В уведомлении сказано, что злоумышленники провели массовую атаку с подстановкой учётных данных, т.е. пытались авторизоваться в менеджере паролей с данными, полученными из сторонних источников, возможно, в ходе других утечек информации. Проще говоря, злоумышленники проверяли возможность авторизации в Norton Password Manager с данными пользователей от других учётных записей.

Отмечается, что проведение такой атаки было невозможным в случае, если бы все пользователи менеджера паролей задействовали функцию двухфакторной аутентификации, которая не позволяет получить доступ к данным только по паролю. Касательно инцидента сказано, что 12 декабря специалисты Norton зафиксировали необычно большое количество неудачных попыток авторизации в системе. Внутреннее расследование, которое было проведено после выявления действий злоумышленников, показало, что первые атаки с подстановкой учётных данных начались 1 декабря.

По данным источника, компания Gen Digital, являющаяся дочерним предприятием NortonLifeLock, разослала 6450 уведомлений клиентам, чьи учётные записи затронуты в данном инциденте. Другой источник сообщает, что злоумышленники могли атаковать около 925 тыс. активных и неактивных учётных записей клиентов компании. Клиенты получили уведомление о том, что злоумышленники могли получить доступ к логинам и паролям, а также личной информации, такой как ФИО, номера телефонов и адреса электронной почты. Компания настоятельно рекомендует пользователям использовать двухфакторную аутентификацию, чтобы в дальнейшем избежать подобных инцидентов.