北京
剛過去的這個周末，有黑客干了件挺利索的事——直接暴力破解了一家密碼管理器公司的雙因素認證系統，把大概20位客戶的加密密碼庫給下載走了。
出事的這家叫Dashlane。他們自己在官網上發了條事件通報，說黑客靠暴力破解繞過了雙因素認證這道防線，摸到了20個左右的用戶賬戶。一旦破了那道門，這幫人就能下載某些客戶存著密碼和敏感憑證的加密保險庫。
這里有個挺讓人琢磨的細節：Dashlane在事件頁面上明確寫了，“沒有證據表明我們自己的系統遭到了入侵”。但問題來了——既然自家系統沒事，那黑客到底是怎么干掉雙因素保護的？公司到現在也沒說清楚。所謂雙因素認證，就是你光偷到賬號密碼還不夠，通常還得拿到發到用戶手機上的那條驗證碼，才能登進去。
Dashlane自己的解釋是這么寫的：“這次攻擊的目標就是暴力破解雙因素認證這道保護，讓攻擊者能在現有用戶賬戶上注冊新設備?！彼麄冞€說，攻擊者可以用自動化軟件“飛快地把所有數字組合都試一遍，就賭那個短效的驗證碼過期之前能蒙對?！?/p>
至于后面打算怎么防，原話是“已經采取措施降低未來事件的風險”，但具體干了啥，一個字沒提。
現在已知的是，那大約20位被下了密碼庫的客戶已經收到了通知。但不清楚這些人是被有針對性地盯上的——比如因為他們的身份、職業——還是說碰巧撞上了。Dashlane的發言人沒回媒體的評論請求。公司也沒說知不知道是誰在背后搞鬼，黑客有沒有跑來要贖金。
被偷走的那些庫是加了密的，沒有客戶的主密碼誰也解不開。按Dashlane的說法，主密碼只有客戶自己知道，他們那里不存明文。但在事件通報里，Dashlane也補了一句：如果你設的主密碼太好猜，那被猜出來、進而解密整個庫的風險就大多了。
密碼管理器公司被拖庫這種事，說起來少見，但一出事就后勁挺大。2022年，LastPass就確認過一樁事——客戶密碼庫的備份在攻擊中被偷了。雖然那些庫同樣靠主密碼保護，但早期客戶設置主密碼的要求比后來的標準寬松得多，結果黑客就能暴力破解，猜出一些人的主密碼。后來陸續有報道說，黑客通過被盜LastPass庫里存的私鑰，把大量加密貨幣劃走了。這些庫的主密碼，正是在那次泄露事件后被人破解的。
再往前一年，澳大利亞軟件公司Click Studios也出過狀況，提醒所有用他們旗艦密碼管理器的客戶注意安全。做密碼管理的公司，本來賣的就是安全，自己挨打的時候，客戶心里那道防線，比密碼庫本身的加密層要難修復多了。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
