Вразливість автозаповнення Android розкриває дані менеджерів паролів

Tech.co попереджає користувачів Android про потенційний витік даних, пов’язаний із використанням менеджерів паролів для автоматичного заповнення. Нещодавнє дослідження показало, що використання цієї функції в режимі WebView на пристроях Android може призвести до витоку інформації.

Менеджери паролів є безцінними інструментами для користувачів, які намагаються вирішити проблему безпечного керування численними обліковими даними. Однак жоден онлайн-інструмент не позбавлений недоліків, і нова вразливість може становити загрозу для власників Android-пристроїв, які покладаються на подібні засоби.

Дослідники на конференції Black Hat Europe в Лондоні виявили суттєву вразливість, що впливає на користувачів Android і отримала назву AutoSpill. Вразливість виникає, коли користувачі застосовують автозаповнення для введення облікових даних у режимі WebView на своїх пристроях.

У типових сценаріях із надійними застосунками ризик мінімальний, оскільки дійсні постачальники послуг не користуються витоком облікових даних. Однак занепокоєння зростає, якщо користувачі несвідомо завантажили шкідливу програму, яка надає легкий шлях для несанкціонованого доступу до паролів та інших конфіденційних даних.

Користувачі часто не дотримуються правил безпеки паролів: багато хто зізнається, що використовує той самий пароль для кількох облікових записів і вибирає слова та фрази, які легко вгадуються. Для вирішення цих проблем було створено менеджери паролів, які пропонують безпечний спосіб керування входами до різних облікових записів. Використання менеджерів паролів зросло на 13 % з 2022 по 2023 рік.

Поява серйозних вразливостей викликає занепокоєння щодо довіри користувачів до менеджерів паролів. Дехто через побоювання щодо їх надійності може повернутися до менш безпечних методів, як-от записувати паролі на папірці.

Щоб зменшити ризик виявленої вразливості, користувачам рекомендується утриматися від використання менеджера паролів для автоматичного заповнення облікових даних у режимі WebView на пристроях Android. Однак це вважається тимчасовим рішенням, що спонукає дослідників виступати за практичніші варіанти.

Тривають дебати щодо використання ключів і традиційних паролів. Хоча провайдери поступово визнають користь ключів для посилення безпеки, питання залишається відкритим: коли ключі стануть нормою, замінивши звичайні паролі?