LastPass को क्या नहीं छिपाता है?

मुझे लगता है कि सभी जानते हैं कि लास्टपास क्या है । कई लोगों ने उन्हें अपने सभी लॉगिन और पासवर्ड का भंडारण सौंपा। और कैसे भरोसा न करें, वास्तव में, डेवलपर्स घोषणा करते हैं कि सभी जानकारी क्लाइंट साइड पर संरक्षित और एन्क्रिप्ट की गई है। हाल के इतिहास को ध्यान में रखते हुए , मैंने लास्टपास प्लगइन को टुकड़ों में लेने और यह समझने का फैसला किया कि वास्तव में क्या संरक्षित है और क्या नहीं है, और बड़ी परियोजनाओं में छोटी समस्याओं के बारे में अपने लेखों की श्रृंखला जारी रखें।

पहले तो मुझे वास्तव में सब कुछ पसंद आया। LastPass आपके लॉगिन और पासवर्ड का एक हैश बनाता है, यह एईएस एल्गोरिथ्म की कुंजी है:

कुंजी = SHA256 (ईमेल + पासवर्ड)

प्राधिकरण के लिए, सेवा एक डबल हैश का उपयोग करती है, यह वह है जो सर्वर को भेजा जाता है और प्राधिकरण के दौरान एक सत्यापन कुंजी है:

AUTH_HASH = SHA256 (प्रमुख + पासवर्ड)

दरअसल, समूहों, खातों और डेटा के नाम एन्क्रिप्टेड रूप में प्रेषित किए जाते हैं, और HTTPS का उपयोग हर जगह किया जाता है। लेकिन, जैसा कि यह निकला, ऐसी चीजें हैं जो उपयोगकर्ता कुंजी द्वारा एन्क्रिप्शन के बिना सर्वर पर भेजी जाती हैं। उदाहरण के लिए, यह उस साइट का पूर्ण वर्तमान URL है जहां आप पहली बार लास्टपास में अपना पासवर्ड दर्ज करते हैं।

यहाँ अनुरोध है कि प्लगइन सर्वर को भेजता है (कुछ फ़ील्ड मान बदले जाते हैं):

POST /deliver_and_add.php HTTP/1.1
Host: lastpass.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:5.0) Gecko/20100101 Firefox/5.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: ru-ru,ru;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.7
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Content-Length: 5045
Cookie: lang=en_US; sessonly=0; PHPSESSID=#;
X-LastPass: 1.74.0
X-wxsessid: #
Pragma: no-cache
Cache-Control: no-cache

sentms=#&data=#&ref=68747470733a2f2f7777772e676f6f676c652e636f6d2f6163636f756e74732f536572766963654c6f67696e3f736572766963653d6d61696c26706173736976653d7472756526726d3d66616c736526636f6e74696e75653d68747470732533412532462532466d61696c2e676f6f676c652e636f6d2532466d61696c253246253346756925334468746d6c2532367a792533446c266273763d23367a2673733d31267363633d31266c746d706c3d64656661756c74266c746d706c63616368653d3226686c3d656e2666726f6d3d6c6f676f7574&charset=UTF-8&iid=&data=#&name=#&localupdate=1&extjs=1&iid=&requid=#&wxsessid=#&sessonly=0&requesthash=#&requestsrc=ff&hasplugin=1.74.0

जैसा कि हम देख सकते हैं, रेफ फील्ड में लाइन है:

https ://www.google.com/accounts/ServiceLogin?service=mail&passive=true&rm=false&continue=https%3A%2F%2Fmail.google.com%2Fmail%2F%3Fui%3Dhtml%26zy%3Dl&bsv=#6z&ss=1&scc=1<mpl=default<mplcache=2&hl=en&from=logout

इस प्रकार, दुर्घटना से काफी जानकारी, जिन साइटों पर आप पंजीकृत हैं, उन्हें स्पष्ट रूप में लास्टपास सर्वर पर प्रेषित किया जाता है। और कभी-कभी, इन पंक्तियों में लॉगिन, पासवर्ड और अन्य संवेदनशील जानकारी होती है (कुछ पर, बहुत सही संसाधन नहीं)।

इसके अलावा, प्लगइन भेजने के दौरान फॉर्म डेटा के साथ पूरे ब्लॉक को एन्क्रिप्ट नहीं करता है, लेकिन केवल फ़ील्ड्स को एन्क्रिप्ट करता है, फ़ील्ड नामों को खुला छोड़ देता है, और एन्क्रिप्ट करते समय, यह फ़ील्ड मानों में नमक नहीं जोड़ता है। इस प्रकार, सर्वर पर सरल गणनाओं के माध्यम से, यह समझना संभव होगा कि आपके पास समान उपयोगकर्ता नाम और पासवर्ड किन साइटों पर हैं। वैसे, फ़ॉर्म की कार्रवाई को अंतिम रूप में अंतिम रूप में सर्वर तक प्रेषित किया जाता है:

sentms=#&data=#REMOVED#&ref=687474703a2f2f6861627261686162722e72752f6c6f67696e2f&charset=UTF-8

यहाँ डेटा फ़ील्ड में जानकारी है, habrahabr.ru पर लॉगिन के लिए और इस रूप में सब कुछ LastPass सर्वर पर स्थानांतरित किया जाता है:

0 undefined fieldset
0 act SuQP2miDnWPHD202CxqCLQ%3D%3D hidden
0 redirect_url 5RXHPEEbEv6DlWMaKxOdQZAnmxFM8k9gLCeYz10sh5I%3D hidden
0 login DEJ#REMOVED#D%3D text
0 password vT5yo#REMOVED#tkg%3D%3D password
0 captcha text
0 %D0%92%D0%BE%D0%B9%D1%82%D0%B8 submit
0 action http%3A%2F%2Fhabrahabr.ru%2Fajax%2Fauth%2F action
0 method post method

तो, हमलावर को क्या ज्ञात हो जाएगा यदि वह एन्क्रिप्टेड डेटा तक पहुंच प्राप्त कर लेता है, लेकिन आपका पासवर्ड नहीं जानता है?

1. आपका LastPass ईमेल पता
2. उन सभी साइटों की सूची जिन पर आपका पंजीकरण है
3. उन सभी साइटों की सूची जिन पर आपके समान उपयोगकर्ता नाम और / या पासवर्ड हैं।
4. सभी साइटों पर फॉर्म के पूर्ण लिंक
5. सभी साइटों पर प्रपत्रों की क्रिया विशेषता से पूर्ण लिंक

इसलिए, लास्टपास के लिए एक और पासवर्ड जोड़ते समय सावधान रहें। यदि आप वास्तव में इस जानकारी को स्पष्ट रूप से किसी विदेशी सर्वर को स्थानांतरित करना चाहते हैं, तो पता बार को देखना सुनिश्चित करें।

PS मैं सोच रहा था कि सेवा को इस जानकारी की आवश्यकता क्यों थी, क्योंकि URL और सभी फ़ील्ड को पूरी तरह से एन्क्रिप्ट करने में कुछ भी खर्च नहीं होता है, लेकिन दूसरे दिन मैंने साइट पर गोपनीयता कथन पढ़ा, और यह सब मेरे लिए स्पष्ट हो गया:

लास्टपास अपनी वेबसाइटों पर आगंतुकों के व्यवहार के बारे में एकत्रित आंकड़े एकत्र कर सकता है। उदाहरण के लिए, LastPass, LastPass.com साइट पर सबसे लोकप्रिय वेबसाइट खाते की निगरानी कर सकता है। LastPass इस जानकारी को सार्वजनिक रूप से प्रदर्शित कर सकता है या दूसरों को प्रदान कर सकता है। इसके अलावा, लास्टपास आपके व्यवहार संबंधी डेटा और आपके द्वारा अपने उपयोगकर्ताओं को अपनी साइट पर विज्ञापनों को अनुकूलित करने के लिए लास्टपास को प्रदान करने वाले अन्य डेटा का उपयोग कर सकता है। इस तरह हम अपनी अधिकांश सेवाओं को मुक्त रखने का प्रयास करते हैं। हालांकि, LastPass नीचे वर्णित के अलावा व्यक्तिगत रूप से पहचान करने वाली जानकारी का खुलासा नहीं करता है।

जैसा कि मैं इसे समझता हूं, जिन साइटों पर आप पंजीकृत हैं, उनका उपयोग आपकी विज्ञापन प्रोफ़ाइल को संकलित करने के लिए किया जा सकता है। और यह लास्टपास भी नहीं छिपता।