Jak Keeper chroni przed atakami typu brute force wymierzonymi w rejestrowanie urządzeń w menedżerach haseł

Menedżery haseł należą do najbardziej przydatnych narzędzi bezpieczeństwa, oferując generowanie silnych haseł oraz szyfrowane przechowywanie danych uwierzytelniających. Atakujący coraz częściej zaczynają jednak atakować menedżery haseł poprzez wykorzystywanie procesu rejestrowania urządzeń, czyli procesu służącego do weryfikacji i zatwierdzania nowego urządzenia przed przyznaniem mu dostępu do sejfu użytkownika. Przeprowadzając ataki typu brute force na kody jednorazowe (OTP) zabezpieczające ten etap, atakujący mogą rejestrować nieautoryzowane urządzenia i pobierać kopie zaszyfrowanych sejfów.

Oto, co wydarzyło się w przypadku Dashlane w maju 2026 r.: atakujący metodą brute force złamali sześciocyfrowe kody używane do rejestrowania nowych urządzeń, dodając nieautoryzowane urządzenia do mniej niż 20 kont oraz pobierając kopie sejfów tych użytkowników. Samo szyfrowanie nigdy nie zostało złamane – podatność dotyczyła sposobu zatwierdzania nowych urządzeń. Ataki typu brute force wymierzone w proces rejestrowania urządzeń w menedżerach haseł stanowią rosnące zagrożenie cybernetyczne, jednak są nieskuteczne wobec architektury zero-trust i zero-knowledge stosowanej przez Keeper, która gwarantuje, że sama znajomość hasła nigdy nie wystarczy do zarejestrowania urządzenia i uzyskania dostępu do sejfu.

Jak działają ataki typu brute force na proces rejestrowania urządzeń

Po dodaniu nowego urządzenia do menedżera haseł dostawca usługi musi zweryfikować, że urządzenie należy do Państwa, zanim przyzna mu dostęp do sejfu. Ten etap potwierdzania w procesie rejestrowania urządzenia jest celem ataków typu brute force. Aby zrozumieć, dlaczego menedżery haseł, takie jak Dashlane, były podatne na ten atak, podczas gdy inne, takie jak Keeper®, nie były, warto przyjrzeć się typowemu przebiegowi takich ataków:^® nie, oto jak zazwyczaj działają ataki:

Proces ten nie jest jedynie hipotetycznym scenariuszem – właśnie w ten sposób przebiegał atak na Dashlane, dlatego zabezpieczenie procesu rejestrowania urządzeń jest równie istotne jak ochrona sejfów.

Dlaczego nieautoryzowane rejestrowanie urządzeń stwarza zagrożenie

Nieautoryzowane rejestrowanie urządzeń wiąże się z poważnym ryzykiem dla bezpieczeństwa, ponieważ po zarejestrowaniu nowego urządzenia na koncie menedżera haseł może ono uzyskać dostęp do sejfu użytkownika i być traktowane jako uwierzytelniony, uprawniony użytkownik. Aby przeprowadzić taki atak typu brute force, atakujący nie musi omijać, osłabiać ani łamać mechanizmów szyfrowania sejfu. Wystarczy, że dostawca usługi uzna jego urządzenie za zaufane, umożliwiając synchronizację danych zaszyfrowanego sejfu bezpośrednio ze sprzętem znajdującym się pod kontrolą atakującego.

Konsekwencje uzyskania przez atakującego kopii zaszyfrowanego sejfu użytkownika mają charakter długoterminowy, ponieważ może on podejmować próby złamania zabezpieczeń sejfu w trybie offline we własnym tempie, tak długo, jak będzie to konieczne do uzyskania dostępu. Chociaż zastosowanie silnego szyfrowania sejfu sprawia, że powodzenie takiego ataku jest statystycznie mało prawdopodobne, jego skuteczność w dużej mierze zależy od jednego elementu pozostającego pod kontrolą użytkownika – siły hasła głównego. Długie, złożone i unikalne hasło główne może uniemożliwić złamanie zabezpieczeń wykradzionego sejfu, natomiast słabe lub ponownie wykorzystane hasło główne ma znacznie większe prawdopodobieństwo złamania, jeśli atakujący będzie dysponował odpowiednią ilością czasu. Zabezpieczenie procesu rejestrowania urządzeń jest niezbędne, aby ochrona sejfu użytkownika nie zależała wyłącznie od siły jego hasła głównego.

Jak Keeper pomaga zapobiegać atakom typu brute force na proces rejestrowania urządzeń

Osoby korzystające z Keeper nie padłyby ofiarą tego samego rodzaju ataku typu brute force, który dotknął użytkowników Dashlane, ponieważ Keeper gwarantuje, że sama znajomość hasła użytkownika lub skuteczne odgadnięcie kodu jednorazowego (OTP) metodą brute force nie wystarczy do zarejestrowania nowego urządzenia ani uzyskania dostępu do sejfu.

Zatwierdzanie urządzeń

W Keeper każde nowe urządzenie musi zostać jednoznacznie zatwierdzone, zanim uzyska dostęp do sejfu. Zatwierdzenie stanowi odrębny, świadomy etap procesu, a nie czynność wykonywaną automatycznie po wprowadzeniu kodu. W przypadku użytkowników indywidualnych zatwierdzenia dokonuje właściciel konta przy użyciu już zaufanego urządzenia, natomiast w organizacjach nowe urządzenia mogą być zatwierdzane przez administratora w imieniu uprawnionych użytkowników. W tego rodzaju ataku odgadnięcie prawidłowego kodu jednorazowego (OTP) wystarcza do zakończenia procesu rejestrowania urządzenia, jednak w Keeper nie istnieje pojedynczy punkt końcowy interfejsu API, którego kod można byłoby złamać metodą brute force, aby zakończyć ten proces.

Uwierzytelnianie wieloskładnikowe (MFA)

Keeper obsługuje różne metody uwierzytelniania wieloskładnikowego (MFA), czyli uwierzytelniania dwuskładnikowego (2FA), w tym sprzętowe klucze bezpieczeństwa FIDO2/WebAuthn, uwierzytelnianie biometryczne, aplikacje uwierzytelniające oraz wiadomości SMS. Nie wszystkie metody zapewniają jednak taki sam poziom odporności na ataki typu brute force. Kody przesyłane pocztą elektroniczną lub w wiadomościach SMS są najbardziej podatne, ponieważ mogą zostać odgadnięte lub przechwycone podczas przesyłania. Aplikacje uwierzytelniające zapewniają wyższy poziom ochrony, ponieważ kod jest generowany lokalnie na urządzeniu użytkownika, jednak nadal opierają się na krótkich kodach zależnych od czasu, dlatego wymagają stosowania ograniczeń liczby prób oraz innych mechanizmów zabezpieczających przed atakami typu brute force. Najwyższy poziom ochrony zapewniają sprzętowe klucze bezpieczeństwa, ponieważ wykorzystują kryptograficzny mechanizm uwierzytelniania typu challenge-response zamiast krótkiego kodu. Ponieważ nie istnieje przewidywalna wartość, którą atakujący mógłby wielokrotnie przesyłać do punktu końcowego interfejsu API, ataki typu brute force wymierzone w proces rejestrowania urządzeń stają się nieskuteczne.

Zabezpieczenia zero-trust

Keeper został zbudowany w oparciu o model bezpieczeństwa zero-trust, co oznacza, że każde żądanie dostępu musi zostać zweryfikowane niezależnie od lokalizacji sieciowej lub historii wcześniejszego uwierzytelnienia. W Keeper urządzenie nie uzyskuje trwałego, domyślnego zaufania tylko dlatego, że zostało wcześniej zarejestrowane lub zweryfikowane; każde żądanie jest oceniane niezależnie. Model ten oznacza, że nawet gdyby atakującemu udało się zarejestrować urządzenie, pojedynczy sukces nie zapewniłby mu stałego dostępu. W modelu zero-trust nie istnieje mechanizm umożliwiający wykorzystanie procesu rejestrowania urządzeń do uzyskania nieograniczonego w czasie dostępu.

Moduł zaawansowanego raportowania i ostrzeżeń (ARAM)

Moduł zaawansowanego raportowania i ostrzeżeń (ARAM) Keeper zapewnia administratorom wgląd w podejrzaną aktywność w całym ich środowisku, w tym anomalie związane z uwierzytelnianiem oraz próby rejestrowania urządzeń. Próby weryfikacji podejmowane w krótkim czasie lub duża liczba nieudanych prób rejestrowania urządzeń należą do zdarzeń, które może wykrywać Moduł zaawansowanego raportowania i ostrzeżeń (ARAM). Pełny wgląd w nietypową aktywność umożliwia administratorom szybkie podjęcie działań zamiast pozostawienia podejrzanych zachowań niezauważonych do momentu zarejestrowania nieautoryzowanego urządzenia.

Dlaczego architektura zero-knowledge stosowana przez Keeper ma znaczenie

Mechanizmy kontroli dostępu Keeper zostały zaprojektowane tak, aby uniemożliwić atakującemu zarejestrowanie urządzenia. Dodatkową warstwę ochrony, która jeszcze bardziej wzmacnia bezpieczeństwo, jest architektura zero-knowledge. W praktyce architektura zero-knowledge oznacza, że wszystkie dane przechowywane w sejfie użytkownika są przez cały czas szyfrowane metodą end-to-end, dzięki czemu nawet Keeper nie ma możliwości ich odszyfrowania. Ponieważ klucze szyfrujące są generowane na urządzeniu użytkownika, szyfrowanie i odszyfrowywanie danych odbywa się lokalnie, co zapewnia, że sejf pozostaje całkowicie pod kontrolą użytkownika. Nawet gdyby atakujący w jakiś sposób uzyskał kopię zaszyfrowanego sejfu użytkownika, stanąłby przed niemal niemożliwym do pokonania wyzwaniem, ponieważ klucze szyfrujące niezbędne do uzyskania dostępu do sejfu Keeper Vault nie znajdują się w infrastrukturze Keeper.

Chroń swoje dane przed atakami typu brute force dzięki Keeper

Incydent bezpieczeństwa w Dashlane pokazuje, że samo silne szyfrowanie sejfu nie jest wystarczające. W miarę jak atakujący przenoszą swoją uwagę z łamania zabezpieczeń zaszyfrowanych sejfów na wykorzystywanie procesów zapewniających dostęp, zrozumienie sposobów zapobiegania atakom typu brute force oraz odpowiednie zabezpieczenie procesów rejestrowania urządzeń i uwierzytelniania stają się niezbędne. Menedżer haseł musi chronić zarówno sejfy użytkowników, jak i proces decydujący o tym, kto może uzyskać do nich dostęp.

Naruszenie bezpieczeństwa w LastPass w 2022 r. miało podobne skutki, jednak przebiegało w inny sposób: atakujący naruszyli infrastrukturę firmy i wykradli kopie zaszyfrowanych sejfów, jednak badacze ds. bezpieczeństwa ustalili później, że kradzież była związana z niewystarczająco zabezpieczonymi sejfami. Zarówno incydent w Dashlane, jak i w LastPass pokazują, że gdy atakujący uzyska dostęp do zaszyfrowanego sejfu użytkownika, może próbować złamać jego zabezpieczenia przez nieograniczony czas, co podkreśla znaczenie korzystania z bezpiecznego menedżera haseł w celu ochrony danych.

Keeper został zaprojektowany z myślą o ochronie przed tego typu atakami dzięki mechanizmowi zatwierdzania urządzeń, który uniemożliwia zarejestrowanie nowego urządzenia wyłącznie na podstawie odgadniętego kodu, obsłudze wielu metod uwierzytelniania wieloskładnikowego (MFA) oraz modelowi bezpieczeństwa zero-trust, który gwarantuje, że żadne urządzenie nie jest domyślnie uznawane za zaufane. Mechanizmy te działają w ramach architektury zero-knowledge, która zapewnia, że klucze szyfrujące pozostają pod wyłączną kontrolą użytkownika.

Zachęcamy do rozpoczęcia bezpłatnego okresu próbnego Keeper, aby przekonać się, jak wielowarstwowe mechanizmy zabezpieczeń zapewniają szyfrowanie danych w Państwa sejfie przy użyciu kluczy, nad którymi kontrolę mają wyłącznie Państwo.