Para muitos utilizadores do Firefox, uma das formas de proteger as passwords do navegador passa pela criação de uma password mestra. Porém, esta funcionalidade pode não ser tão segura como se pensa.
O ano passado, a Mozilla realizou uma vasta remodelação no seu navegador sobre a forma do Firefox Quantum. No entanto, a empresa parece ter-se esquecido de um pequeno pormenor que já existe há mais de nove anos: a encriptação da password mestra.
O esquema de encriptação utilizado na password mestra do Firefox funciona, mas não previne que sejam realizados ataques de brute force, como o que foi reportado recentemente pelo investigador de segurança Wladimir Palant, criador da extensão Adblock Plus. Mas, o mais surpreender será o facto de este problema existir há mais de nove anos, tendo sido reportado no passado à Mozilla.
Depois de ser verificado o código fonte do navegador, Wladimir afirma que a encriptação SHA1 utilizada na funcionalidade possui uma taxa de interação de apenas 1 – ou seja, o código de encriptação apenas é misturado uma vez. Este valor é consideravelmente inferior ao tradicional no mercado, atualmente em 1000 interações.
Este valor reduzido aumenta o risco de serem realizados ataques, os quais são ainda mais acentuados com a capacidade de processamento atualmente existente em pequenos sistemas, sobretudo em nível de GPUs. O investigador aponta que a password mestra de uma instalação tradicional do Firefox pode ser “acedida” em menos de 1 minuto, utilizando o poder de processamento de uma gráfica.
A Mozilla já revelou que irá melhorar consideravelmente a segurança deste sistema, num projeto que se encontra atualmente em desenvolvimento com o nome de código “Lockbox”.
Nenhum comentário
Seja o primeiro!