Свободу политзаключённым! Донат Медиазоне
Тим ·

Отличный writeup про уязвимость в менеджере паролей Касперского.

Если вкратце, то они использовали несистемный генератор случайных чисел, а в качестве сида брали текущее время в секундах.

Это означает, что если два человека генерировали пароль одной длины/алфавита в одну и ту же секунду, то пароль получался одинаковым. И это означает, что если примерно известно время создания пароля, то можно… просто посчитать пароли плюс-минус от этого времени, в сутках всего 86400 секунд.

Пользователи не замечали, что если быстро нажать «сгенерировать ещё», то получится тот же пароль, из-за длинной анимации создания пароля.

Менеджеры паролей, как и многое связанное с криптографией и безопасностью, кажутся обманчиво простыми. Я думаю, что известное выражение don’t roll your own crypto во многом про это — легко сделать что-то не так. Даже нормальные building blocks могут привести к плохим результатам, если их невнимательно соединить.