forum.opennet.ru - "Атака на браузерные дополнения с менеджерами паролей, использующая кликджекинг" (70)

"Атака на браузерные дополнения с менеджерами паролей, использующая кликджекинг"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Атака на браузерные дополнения с менеджерами паролей, использующая кликджекинг"	+/–
Сообщение от opennews (??), 24-Авг-25, 11:34
На конференции DEF CON 33 представлен метод атаки на браузерные дополнения, подставляющие свои элементы интерфейса в просматриваемую страницу. Применение атаки к дополнениям с менеджерами паролей может привести к утечке хранимой в менеджерах паролей информации, такой как параметры аутентификации, параметры кредитных карт, персональные данные и одноразовые пароли для двухфакторной аутентификации. Проблема затрагивает все протестированные менеджеры паролей, включая 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass и Keeper... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63754
Ответить \| Правка \| Cообщить модератору

Оглавление

Автотайпинг паролей небезопасен, говорили мне Хорошо, что под Вяленым Кипасс не, Аноним (1), 11:34 , 24-Авг-25, (1) +9

Кипасс спрашивает разрешения на доступ для сайта Разрешил для левака ССЗБ Нов, Аноним (3), 11:40 , 24-Авг-25, (3) +2

Ну то есть не безопасность, а сам себе дурак Не ограждения в сталелетейном за, Витюшка (?), 11:59 , 24-Авг-25, (6) –5

Запрос доступа - это и есть ограничения по твоей аналогии Если ты за них переле, Аноним (17), 13:37 , 24-Авг-25, (17) –1

Скрыто модератором, Аноним (16), 13:13 , 24-Авг-25, (16) –1
Ну дык, этож от вендузятников для вендузятников https marektoth com images pr, Аноним (26), 14:44 , 24-Авг-25, (26) –1

Если атакующий выполняет на странице свой код, проблемы у вас будут и без дополн, Аноним (2), 11:39 , 24-Авг-25, (2) +21

На перенаправленной левой странице менеджер паролей вставку не предложит, а на и, Аноним (10), 12:27 , 24-Авг-25, (10) +2

Блин, если страницу кто-то изменил через XSS, то проблемы у вас _намного_ хуже, , Аноним (17), 13:39 , 24-Авг-25, (18) +5

И только из контекста блин понятно, что это затрагивает в основном хром хромиу, Аноним (4), 11:43 , 24-Авг-25, (4)

Метод работает и в Chrome и в Firefox Про firefox отдельная ремарка, что в нём , Аноним (10), 12:30 , 24-Авг-25, (11) +1

Firefox был на острие деградации, не удевительно что там этого нет Наверное все, Аноним (75), 15:04 , 25-Авг-25, (75)

Например, дополнение KeePassXC-Browser обращается к базе паролей через менеджер , MxZS (?), 11:59 , 24-Авг-25, (5)

Ну битварден, например, сливал данные банковской карты по любому клику на капчу, Аноним9000 (?), 12:13 , 24-Авг-25, (9)

Т е если битварден оказался спайварем, то остальные тоже по умолчанию такие ж, MxZS (?), 00:22 , 25-Авг-25, (58)

ну то есть все аддоны подвержены, но keepassxc ты всё равно прорекламируешь, ден, 12yoexpert (ok), 14:42 , 24-Авг-25, (25) –2

Какие деньги Он бесплатный и ставится локально , MxZS (?), 00:17 , 25-Авг-25, (57) +1

менетжер паролей pass безопасен если плюнуть на фундаментальные проблемы X clib, 0xdeadbee (-), 12:31 , 24-Авг-25, (12) +1

фундаментальные проблемы с иксами только у фанатиков вяленого, запускающих у себ, 12yoexpert (ok), 14:48 , 24-Авг-25, (28) –5

У фанатиков работодателей, ты хотел сказать Далеко не весь софт в твоей системе, Аноним (38), 16:36 , 24-Авг-25, (38) +1

Работодатель на созвоне хакает линуксоидного РАБотника через дополнение к vscode, Аноним (43), 18:13 , 24-Авг-25, (43) +1
рабское мышление, не о чем разговаривать , 12yoexpert (ok), 18:27 , 24-Авг-25, (44) –4
У работодателей с проприетарным либами обязательно посещение офиса, если уж и да, Аноним (45), 18:34 , 24-Авг-25, (45)

Не говори за всех Поможет, если используются линукс-неймспейсы А теперь внимани, Аноним (38), 19:12 , 24-Авг-25, (47)

Так запускай несколько X-серверов на разных tty и не жалуйся , Аноним (48), 19:43 , 24-Авг-25, (48)

Малварь может коннектиться к любому из твоих tmp x11-unix, прикинь Да и удобс, Аноним (38), 20:10 , 24-Авг-25, (50)

Всё так Но это лучше, чем полагаться на отсутствие дырок в проприетарных блобах, Аноним (63), 05:06 , 25-Авг-25, (63)

Нэймспэйсы наверное самая дырявая подсистема в ядре, попытка натянуть концепты б, Аноним (63), 05:02 , 25-Авг-25, (62)

Работодатель представляет свой комп На нём стоят руткиты от работодателя Разум, anonymous (??), 08:30 , 25-Авг-25, (65)

Нет буфера обмена - нет проблемы И пользователь такой сидит как краб и таращит , щука улетела лебедь утонул (?), 15:05 , 24-Авг-25, (30)

Всегда вручную копирую пароли , Аноним (15), 12:56 , 24-Авг-25, (15) +1

Зловред - Всегда сижу и жду когда кто-нибудь скопирует пароль, Аноним (19), 13:45 , 24-Авг-25, (19) +2

Не доверяешь своему десктопу - изолируй в отдельный десктоп отдельного юзера , Аноним (36), 16:21 , 24-Авг-25, (36)

Все переходим на passkey, нечему будет утекать, Аноним (19), 13:47 , 24-Авг-25, (20)

Detecting Compromise of Passkey Storage on the Cloudhttps www usenix org syste, Голдер и Рита (?), 14:03 , 24-Авг-25, (22)

Оказывается, если пустить к себе домой постороннего человека для какой-то работы, YetAnotherOnanym (ok), 14:10 , 24-Авг-25, (23) +1
Никогда не пользовался именно браузерными хранилками паролей, потому что сама ид, Аноним (24), 14:29 , 24-Авг-25, (24)
Во времена XUL таких проблем не было , Аноним (27), 14:46 , 24-Авг-25, (27) +1

Аддоны, встраивающие свои элементы интерфейса в страницу сайта, всё равно сущест, Аноним (73), 14:24 , 25-Авг-25, (73)

Да вы гляньте на видео Там норм отрисовка шрифтов Не ШГ Как они этого добилис, глаза втекли обратно (?), 15:01 , 24-Авг-25, (29) –1

Ты видео точно глядел Там Windows NT 10 0 , Аноним (26), 15:26 , 24-Авг-25, (31)

Да я только первые секунды Тьфу ты Так и знал, что засада , снова вытекли (?), 16:08 , 24-Авг-25, (34)

В Хроме на венде были самые паршивые шрифты Да и в Еже старом тоже, новый патча, Аноним (46), 19:05 , 24-Авг-25, (46) –1

Почему при вставке пароля окно подтверждения не вызвать через window open , Аноним (35), 16:09 , 24-Авг-25, (35)

Хороший вопрос Почему не делают это в отдельном окне, с возможностью ткнуть по , Аноним (36), 16:25 , 24-Авг-25, (37)

Люди вообще обленились Не хотят запоминать 2-3 пароля из 5 средней длины слов , Ценитель GPL рогаликов (?), 16:52 , 24-Авг-25, (39) –1

Да и вообще, бумагу и карандаш вроде никто не отменял, всегда можно записать пар, Аноним (40), 17:41 , 24-Авг-25, (40)

Для одинокой станции на краю планеты вполне себе вариант К счастью других Рот, Ценитель GPL рогаликов (?), 00:01 , 25-Авг-25, (56) –1
Кроме записи пароля на физическом носителе ещё нужно обеспечить безопасное хране, pkdr (ok), 10:50 , 25-Авг-25, (66)

Скрыто модератором, Ценитель GPL рогаликов (?), 14:17 , 25-Авг-25, (71)

20-30 100-200 паролей из Тролль , Любитель идиотов (?), 17:46 , 24-Авг-25, (41)

Ты же сам такую работу выбрал, где иначе нельзя Или она тебя Наслаждайся Ни в , Ценитель GPL рогаликов (?), 23:40 , 24-Авг-25, (55) –1

Какую работу У меня от личных сервисов банки, почта, магазины, всякие учётки, Аноним (74), 14:59 , 25-Авг-25, (74)

В магазинах верификация давно по смартфону или через приложение, как и в банке , Ценитель GPL рогаликов (?), 15:14 , 25-Авг-25, (76)

Ещё одна причина использовать блокировщики рекламы , Аноним (42), 17:59 , 24-Авг-25, (42) +1
NoScript, DasKolbass (?), 19:46 , 24-Авг-25, (49)
Не зря я никогда не использовал эти интеграции в браузеры Как в воду глядел , cheburnator9000 (ok), 20:57 , 24-Авг-25, (52)

Доступ одной программы к содержимому другой Это как облачные антивирусы Где-то, Ценитель GPL рогаликов (?), 14:22 , 25-Авг-25, (72)

Так и не понял в чём уязвимость Всё работает как надо - автоматическое подста, Аноним (53), 23:14 , 24-Авг-25, (53)
Суммаризирую Браузеры не делают API для управления секретами для того чтобы поль, rshadow (ok), 23:21 , 24-Авг-25, (54)
А есть кто-то, кто пользуется менеджерами паролей , Аноним (59), 02:05 , 25-Авг-25, (59)

Проблема в том, что в голове особо много паролей не запомнишь Значит, ты их пер, Аноним (53), 04:21 , 25-Авг-25, (60) +2

Есть ощущение что все эти пароли это просто технологии прошлого Потихоньку отка, rshadow (ok), 11:37 , 25-Авг-25, (67)

В пользу чего Отп , Аноним (69), 12:00 , 25-Авг-25, (69)

OpenPGP как-то приспособить в виде ключа-доступа ко всему , Ценитель GPL рогаликов (?), 14:14 , 25-Авг-25, (70)
Ну что нибудь, вроде много всего напридумывали В идеале чтобы я свой браузер ка, rshadow (ok), 17:25 , 25-Авг-25, (78)
Вот вам забавный факт Использую FreeOTP Через QR код очень легко туда добавляю, rshadow (ok), 17:28 , 25-Авг-25, (79)

Это известная проблема Есть позорные сайты, которые обнаруживают что им в DOM от, anonymous (??), 08:28 , 25-Авг-25, (64) +1
Недавно обновлял страницу справки Firefox про механизм борьбы с кликджекингом ht, L10N (ok), 11:57 , 25-Авг-25, (68)
Браузерные хтмл хранители паролей Что же могло пойти не так , Аноним (27), 16:43 , 25-Авг-25, (77)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 24-Авг-25, 11:34 +9 +/–

Автотайпинг паролей небезопасен, говорили мне. Хорошо, что под Вяленым Кипасс не умеет автотайпить. Пользуйся дополнением к браузеру, это безопасно! Ага...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #16, #26

2. Сообщение от Аноним (2), 24-Авг-25, 11:39 +21 +/–

Если атакующий выполняет на странице свой код, проблемы у вас будут и без дополнений для автоввода пароля. Например, он может перенаправить получателя формы на себя, таким образом украв ваш пароль. А вам сымитировать ошибку.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10

3. Сообщение от Аноним (3), 24-Авг-25, 11:40 +2 +/–

Кипасс спрашивает разрешения на доступ для сайта. Разрешил для левака? ССЗБ. Новость ни о чем.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6

4. Сообщение от Аноним (4), 24-Авг-25, 11:43 +/–

И только из контекста блин понятно, что это затрагивает (в основном) хром\хромиум-браузеры. И на тестовой странице об этом явное предупреждение есть.
А в заголовок вынести это уточнение было нельзя?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

5. Сообщение от MxZS (?), 24-Авг-25, 11:59 +/–

Например, дополнение KeePassXC-Browser обращается к базе паролей через менеджер KeePassXC, который при обращении к каждому НОВОМУ ресурсу просит пользователя дать разрешение на использование паролей на КОНКРЕТНОМ веб-сайте. Т.е. даже если элементы/поля ввода данных скрыты и скрыты кнопки их отправки/ввода, как описано в статье, то пользователь увидит запрос от менеджера паролей, что не может не вызвать подозрений.
Ну и сам факт того, что для эксплуатации этой "уязвимости" нужен доступ на управление веб-ресурсом или его поддоменом, сводит на нет претензии к разработчикам менеджеров, которые правильно подметили, что проблема фундаментальная, а не в их продуктах.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #25

6. Сообщение от Витюшка (?), 24-Авг-25, 11:59 –5 +/–

Ну то есть не безопасность, а "сам себе дурак". Не ограждения в сталелетейном заводе, а "подпиши документ, обязуйся ему следовать - там написано в чан не падать! Иначе сам себе дурак".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #17

9. Сообщение от Аноним9000 (?), 24-Авг-25, 12:13 +/–

Ну битварден, например, сливал данные банковской карты по любому клику на "капчу" на любом сайте. Так что там есть что править и в парольном менеджере

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #58

10. Сообщение от Аноним (10), 24-Авг-25, 12:27 +2 +/–

На перенаправленной левой странице менеджер паролей вставку не предложит, а на изменённой через XSS реальной странице предложит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #18

11. Сообщение от Аноним (10), 24-Авг-25, 12:30 +1 +/–

Метод работает и в Chrome и в Firefox. Про firefox отдельная ремарка, что в нём _нет_ опциональной защиты, которая есть в Chrome (Extension settings → site access → "on click").

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #75

12. Сообщение от 0xdeadbee (-), 24-Авг-25, 12:31 +1 +/–

менетжер паролей pass безопасен !
если плюнуть на фундаментальные проблемы X cliboard, за попытку отрефакторить которые мне в панамку напихали.
Package: pass
Version: 1.7.4-6
Priority: optional
Section: admin
Source: password-store
Maintainer: Colin Watson <cjwatson@debian.org>
Installed-Size: 131 kB
Depends: gnupg, tree
Recommends: git, qrencode, xclip, wl-clipboard
Suggests: libxml-simple-perl, perl, python, python3, ruby
Homepage: https://www.passwordstore.org/
Download-Size: 34.0 kB
APT-Sources: https://deb.debian.org/debian bookworm/main amd64 Packages
Description: lightweight directory-based password manager
Stores, retrieves, generates, and synchronizes passwords securely using gpg and git.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28, #30

15. Сообщение от Аноним (15), 24-Авг-25, 12:56 +1 +/–

Всегда вручную копирую пароли.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

16. Сообщение от Аноним (16), 24-Авг-25, 13:13 Скрыто ботом-модератором –1 +/–

Картинка то крутая.
https://www.animenewsnetwork.com/thumbnails/crop600x315gHL/h...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

17. Сообщение от Аноним (17), 24-Авг-25, 13:37 –1 +/–

Запрос доступа - это и есть ограничения по твоей аналогии. Если ты за них перелез - то да, сам дурак.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

18. Сообщение от Аноним (17), 24-Авг-25, 13:39 +5 +/–

Блин, если страницу кто-то изменил через XSS, то проблемы у вас _намного_ хуже, чем воровство паролей. Все ваши данные на сайте уже у злоумышленника.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

19. Сообщение от Аноним (19), 24-Авг-25, 13:45 +2 +/–

Зловред:
- Всегда сижу и жду когда кто-нибудь скопирует пароль

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #36

20. Сообщение от Аноним (19), 24-Авг-25, 13:47 +/–

Все переходим на passkey, нечему будет утекать

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #22

22. Сообщение от Голдер и Рита (?), 24-Авг-25, 14:03 +/–

Detecting Compromise of Passkey Storage on the Cloud
https://www.usenix.org/system/files/conference/usenixsecurit...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

23. Сообщение от YetAnotherOnanym (ok), 24-Авг-25, 14:10 +1 +/–

> браузерные дополнения подставляют диалог с запросом автоподстановки пароля непосредственно на отображаемую страницу, интегрируя свои элементы в DOM (Document Object Model) данной страницы
Оказывается, если пустить к себе домой постороннего человека для какой-то работы, он может получить доступ к вещам в доме. Вот сюрпрайз-то какой!

Ответить | Правка | Наверх | Cообщить модератору

24. Сообщение от Аноним (24), 24-Авг-25, 14:29 +/–

Никогда не пользовался именно браузерными хранилками паролей, потому что сама идея хранить пароли в приложении, через которое тебя в первую очередь будут ломать кажется тупой изначально.
Но если уж делать это в браузере, то это же очевидно что диалоги из таких дополнений должны быть вне пределов страницы. Например как у расширения для Яндекс Музыки. Встраивая что-то в страницу мы сразу даём возможность этим манипулировать изнутри страницы. Вроде бы это очевидно должно быть разрабам таких продуктов.
К слову такая же уязвимость есть не только в расширениях, но и в самом Хроме. Если пароль для сайта был запомнен, то он автоматически вводится в форму. Осталось только считать из неё данные или отправить на свой сервер.

Ответить | Правка | Наверх | Cообщить модератору

25. Сообщение от 12yoexpert (ok), 24-Авг-25, 14:42 –2 +/–

ну то есть все аддоны подвержены, но keepassxc ты всё равно прорекламируешь, деньги-то уплочены

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #57

26. Сообщение от Аноним (26), 24-Авг-25, 14:44 –1 +/–

> Хорошо, что под Вяленым Кипасс не умеет автотайпить.
Ну дык, этож от вендузятников для вендузятников:
https://marektoth.com/images/protonui.png
https://marektoth.com/images/dombased-passkeys2.png
> Software: Greenshot [Greenshot is a light-weight screenshot software tool for Windows]
>

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

27. Сообщение от Аноним (27), 24-Авг-25, 14:46 +1 +/–

Во времена XUL таких проблем не было.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #73

28. Сообщение от 12yoexpert (ok), 24-Авг-25, 14:48 –5 +/–

фундаментальные проблемы с иксами только у фанатиков вяленого, запускающих у себя варезный мусор вместо софта
поневоле задумаешься, а в иксах ли дело?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #38

29. Сообщение от глаза втекли обратно (?), 24-Авг-25, 15:01 –1 +/–

Да вы гляньте на видео! Там норм отрисовка шрифтов. Не ШГ! Как они этого добились? Там же Линукс!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31, #46

30. Сообщение от щука улетела лебедь утонул (?), 24-Авг-25, 15:05 +/–

Нет буфера обмена - нет проблемы. И пользователь такой сидит как краб и таращит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

31. Сообщение от Аноним (26), 24-Авг-25, 15:26 +/–

> Да вы гляньте на видео! Там норм отрисовка шрифтов. Не ШГ! Как
> они этого добились? Там же Линукс!
Ты видео точно глядел? Там "Windows NT 10.0"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #34

34. Сообщение от снова вытекли (?), 24-Авг-25, 16:08 +/–

Да я только первые секунды. Тьфу ты! Так и знал, что засада.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

35. Сообщение от Аноним (35), 24-Авг-25, 16:09 +/–

Почему при вставке пароля окно подтверждения не вызвать через window.open?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #37

36. Сообщение от Аноним (36), 24-Авг-25, 16:21 +/–

Не доверяешь своему десктопу - изолируй в отдельный десктоп + отдельного юзера. Или сделай отдельный magick-cookie в иксах, чтобы заработало Xsecurity и недоверенные приложения не видели инпут и буферы обмена друг у друга.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

37. Сообщение от Аноним (36), 24-Авг-25, 16:25 +/–

Хороший вопрос. Почему не делают это в отдельном окне, с возможностью ткнуть по "показать подробнее" с указанием на то, в какой элемент предлагается вставка?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

38. Сообщение от Аноним (38), 24-Авг-25, 16:36 +1 +/–

У фанатиков работодателей, ты хотел сказать? Далеко не весь софт в твоей системе ты поставил себе сам, а если и сам -- то далеко не факт, что ты сделал это добровольно. Работодатель может иметь свой проприетарный SDK в виде бинаря, который ты как миленький поставишь. Или такой сценарий: ты на рабочем созвоне (узнаешь, что это такое, когда закончишь школу), а потом работодатель такой: "блин, голосом не удобно, поставь расширение по коллективному редактированию файлов в vscode, вот ссылка" -- и тебе даже особо время не дается подумать, потому что созвон идет вот прямо щас, и все ждут только тебя. И когда у тебя вяленый, ты будешь уверен, что бинарь, идущий в составе расширения, не пойдет скриншотить что-либо. Welcome to the real world, jackass.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #43, #44, #45, #65

39. Сообщение от Ценитель GPL рогаликов (?), 24-Авг-25, 16:52 –1 +/–

> Применение атаки к дополнениям с менеджерами паролей может привести к утечке хранимой в менеджерах паролей информации, такой как параметры аутентификации, параметры кредитных карт, персональные данные и одноразовые пароли для двухфакторной аутентификации. Проблема затрагивает все протестированные менеджеры паролей, включая 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass и Keeper.
Люди вообще обленились. Не хотят запоминать 2-3 пароля из 5 средней длины слов + знаки + цифры. В рецепте каких-нибудь блинчиков с начинкой слов и то больше!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #40, #41

40. Сообщение от Аноним (40), 24-Авг-25, 17:41 +/–

Да и вообще, бумагу и карандаш вроде никто не отменял, всегда можно записать пароль на, так сказать, "физическом носителе". Уже сейчас многие просто забыли, как пишутся некоторые буквы, вангую, лет через пятьдесят, человеки вообще забудут, что такое письменность. Р.S. Сейчас в комментарии прибегут "мамкины безопасники" с криками "бумага, это небезопасно!!!".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #56, #66

41. Сообщение от Любитель идиотов (?), 24-Авг-25, 17:46 +/–

20-30... 100-200 паролей из.. Тролль!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #55

42. Сообщение от Аноним (42), 24-Авг-25, 17:59 +1 +/–

> Создание навязчивого элемента на странице, стимулирующего совершение клика.
Ещё одна причина использовать блокировщики рекламы.

Ответить | Правка | Наверх | Cообщить модератору

43. Сообщение от Аноним (43), 24-Авг-25, 18:13 +1 +/–

Работодатель на созвоне хакает линуксоидного РАБотника через дополнение к vscode. Вот это манямирок!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

44. Сообщение от 12yoexpert (ok), 24-Авг-25, 18:27 –4 +/–

рабское мышление, не о чем разговаривать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

45. Сообщение от Аноним (45), 24-Авг-25, 18:34 +/–

У работодателей с проприетарным либами обязательно посещение офиса, если уж и дают работать из дома, то выдают преднастроенное железо с зондами, чтобы их проприетарные секретки не утекли куда не надо, и работники работу работали.
А раз на своё зонды ставишь, то Вейланд не поможет, программы все от одного пользователя работают, все хранилища паролей всем доступны.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #47

46. Сообщение от Аноним (46), 24-Авг-25, 19:05 –1 +/–

В Хроме на венде были самые паршивые шрифты. Да и в Еже старом тоже, новый патчат специальными патчами, чтобы было нормально, в отличие от Хрома. Вот интерфейсный Segoe выглядит идеально, в линуксе только растровые шрифты приближаются к такому уровню, а всё остальное вырвиглаз хуже линукса.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

47. Сообщение от Аноним (38), 24-Авг-25, 19:12 +/–

> если уж и дают работать из дома, то выдают преднастроенное железо с зондами
Не говори за всех.
> Вейланд не поможет
Поможет, если используются линукс-неймспейсы. А теперь внимание: линукс-неймспейсы + иксы = клиенты все еще могут скриншотить и кейлоггерить. А вот линукс-неймспейсы + вяленый = тотальная изоляция. Чуешь разницу? Уже догадываешься, почему иксы выпинывают из всех популярных дистров, DE, тулкитов и так далее?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #48, #62

48. Сообщение от Аноним (48), 24-Авг-25, 19:43 +/–

Так запускай несколько X-серверов на разных tty и не жалуйся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #50

49. Сообщение от DasKolbass (?), 24-Авг-25, 19:46 +/–

NoScript

Ответить | Правка | Наверх | Cообщить модератору

50. Сообщение от Аноним (38), 24-Авг-25, 20:10 +/–

Малварь может коннектиться к любому из твоих /tmp/.x11-unix, прикинь? Да и удобством тут не пахнет, если для изоляции надо запускать отдельный сервер на одно приложение. Спасибо, но в firejail с этим настрадались уже.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #63

52. Сообщение от cheburnator9000 (ok), 24-Авг-25, 20:57 +/–

Не зря я никогда не использовал эти интеграции в браузеры. Как в воду глядел.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #72

53. Сообщение от Аноним (53), 24-Авг-25, 23:14 +/–

Так и не понял в чём "уязвимость". Всё работает как надо - автоматическое подставление автоматически подставляет.

Ответить | Правка | Наверх | Cообщить модератору

54. Сообщение от rshadow (ok), 24-Авг-25, 23:21 +/–

Суммаризирую.
Браузеры не делают API для управления секретами для того чтобы пользователь был прибит гвоздями к их инфраструктуре. Куча поделок все же пытаются что-то сделать на коленке и выходит с разной степенью юзабельности. При этом безопасность всего этого вперде.

Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от Ценитель GPL рогаликов (?), 24-Авг-25, 23:40 –1 +/–

> 20-30... 100-200 паролей из..
Ты же сам такую работу выбрал, где иначе нельзя. Или она тебя. Наслаждайся.
> Тролль!
Ни в коем случае! Те у кого другая работа, обходятся всего несколькими паролями.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #74

56. Сообщение от Ценитель GPL рогаликов (?), 25-Авг-25, 00:01 –1 +/–

> Да и вообще, бумагу и карандаш вроде никто не отменял, всегда можно записать пароль на, так сказать, "физическом носителе".
Для одинокой станции на краю планеты вполне себе вариант.
> Уже сейчас многие просто забыли, как пишутся некоторые буквы, вангую, лет через пятьдесят, человеки вообще забудут, что такое письменность.
К счастью других. Рот еще научат держать закрытым и мир станет лучше. Пишущий дегенерат с грамотной речью становится общественной проблемой.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

57. Сообщение от MxZS (?), 25-Авг-25, 00:17 +1 +/–

Какие деньги? Он бесплатный и ставится локально.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

58. Сообщение от MxZS (?), 25-Авг-25, 00:22 +/–

Т.е. если "битварден" оказался спайварем, то остальные тоже по умолчанию такие же? Если в Андроид есть ошибка или закладка, то она автоматом появляется в АйОС? И до куче в винде, линухе и т.п.?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

59. Сообщение от Аноним (59), 25-Авг-25, 02:05 +/–

А есть кто-то, кто пользуется менеджерами паролей?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #60

60. Сообщение от Аноним (53), 25-Авг-25, 04:21 +2 +/–

Проблема в том, что в голове особо много паролей не запомнишь. Значит, ты их переиспользуешь. Значит, один дырявый сервис даёт доступ к твоей учётке на других сервисах.
Другая проблема в том, что при этом смена пароля - это смена сразу на 100500 сервисах, что очень неудобно и плюс легко забыть где ты учётки насоздавал за 20 лет.
А если у тебя какой-нибудт KeePassXC, то и список сервисов под рукой, и логин и пароль, и пароли везде разные и сложные.
Другое дело, что никакими автоподстановками пользоваться не надо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #67

62. Сообщение от Аноним (63), 25-Авг-25, 05:02 +/–

Нэймспэйсы наверное самая дырявая подсистема в ядре, попытка натянуть концепты безопасности из 90-х на костыли из 70-х.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

63. Сообщение от Аноним (63), 25-Авг-25, 05:06 +/–

Всё так. Но это лучше, чем полагаться на отсутствие дырок в проприетарных блобах видеокарты (и амд тут ничем не лучше, все блобы на месте, а иначе тыква).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

64. Сообщение от anonymous (??), 25-Авг-25, 08:28 +1 +/–

Это известная проблема.
Есть позорные сайты, которые обнаруживают что им в DOM отрисовался интерфейс адблока, и скрипт удаляет всё содержимое оставляя пустую страничку
Поскольку такое поведение выгодно большому брату и не выгодно конечному пользователю, то конечно же оно будет сохранено во всех версиях браузера

Ответить | Правка | Наверх | Cообщить модератору

65. Сообщение от anonymous (??), 25-Авг-25, 08:30 +/–

Работодатель представляет свой комп. На нём стоят руткиты от работодателя. Разумеется про безопасность ты можешь уже не думать - это дело работодателя. На свой личный комп очевидно я никакого софта от работодателя ставить не буду.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

66. Сообщение от pkdr (ok), 25-Авг-25, 10:50 +/–

Кроме записи пароля на физическом носителе ещё нужно обеспечить безопасное хранение физического носителя с паролем.
Я, например, клею носитель с паролем на дно клавиатуры, вряд ли атакующий догадается его там искать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #71

67. Сообщение от rshadow (ok), 25-Авг-25, 11:37 +/–

Есть ощущение что все эти пароли это просто технологии прошлого. Потихоньку отказываться бы от этого.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #69

68. Сообщение от L10N (ok), 25-Авг-25, 11:57 +/–

Недавно обновлял страницу справки Firefox про механизм борьбы с кликджекингом:
https://support.mozilla.org/ru/kb/stranica-xframe-neterror?r...-
Понятно, что используется не только эта техника, но в принципе, по крайней мере, в этом браузере о проблеме знают и со своей стороны тоже что-то делают.

Ответить | Правка | Наверх | Cообщить модератору

69. Сообщение от Аноним (69), 25-Авг-25, 12:00 +/–

В пользу чего? Отп?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #70, #78, #79

70. Сообщение от Ценитель GPL рогаликов (?), 25-Авг-25, 14:14 +/–

OpenPGP как-то приспособить в виде ключа-доступа ко всему?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

71. Сообщение от Ценитель GPL рогаликов (?), 25-Авг-25, 14:17 Скрыто ботом-модератором +/–

Жена? Или сам уборку стола делаешь и никого близко не подпускаешь?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66

72. Сообщение от Ценитель GPL рогаликов (?), 25-Авг-25, 14:22 +/–

Доступ одной программы к содержимому другой. Это как облачные антивирусы. Где-то обманывают, но пока не понял где.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

73. Сообщение от Аноним (73), 25-Авг-25, 14:24 +/–

Аддоны, встраивающие свои элементы интерфейса в страницу сайта, всё равно существовали. Обычно это были всякие порты с хрома, как юблок.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

74. Сообщение от Аноним (74), 25-Авг-25, 14:59 +/–

Какую "работу"? У меня от личных сервисов (банки, почта, магазины, всякие учётки на сайтах) штук 200 паролей. У тебя, я так понимаю, он один везде?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #76

75. Сообщение от Аноним (75), 25-Авг-25, 15:04 +/–

Firefox был на острие деградации, не удевительно что там этого нет. Наверное все донатные деньги прогуляли на радужные корпаративы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

76. Сообщение от Ценитель GPL рогаликов (?), 25-Авг-25, 15:14 +/–

> У меня от личных сервисов (банки, почта, магазины, всякие учётки на сайтах) штук 200 паролей.
В магазинах верификация давно по смартфону или через приложение, как и в банке. Все данные о регистрациях в ру доменах 100% на серверах ФСБ и к ним имеет доступ любой сотрудник, даже деревенский участковый. Какой смысл там во множествах паролей? Есть сайты, вроде игровых и развлекательных где плевать на утечку.
> Какую "работу"?
Я подумал ты сайты администрируешь на удаленке и тебе столько нужно.
> У тебя, я так понимаю, он один везде?
Несколько. > 5.
> штук 200 паролей.
Ни в коем случае не осуждаю. Надо, значит надо. Твой выбор.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74

77. Сообщение от Аноним (27), 25-Авг-25, 16:43 +/–

Браузерные хтмл хранители паролей? Что же могло пойти не так :)

Ответить | Правка | Наверх | Cообщить модератору

78. Сообщение от rshadow (ok), 25-Авг-25, 17:25 +/–

Ну что нибудь, вроде много всего напридумывали. В идеале чтобы я свой браузер как-то авторизовал - пусть даже каким нибудь паролем который дома на листочке записан. А дальше он от моего имени автоматически обменивался там ключами, и прочее... Что-то в таком духе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

79. Сообщение от rshadow (ok), 25-Авг-25, 17:28 +/–

Вот вам забавный факт. Использую FreeOTP. Через QR код очень легко туда добавляются сервисы. Но есть один ресвис QR код которого не распознается - это VK ID. Как они умудрились или специально так сделали я хз.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 24-Авг-25, 11:34	+9 +/–
Автотайпинг паролей небезопасен, говорили мне. Хорошо, что под Вяленым Кипасс не умеет автотайпить. Пользуйся дополнением к браузеру, это безопасно! Ага...
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #16, #26

2. Сообщение от Аноним (2), 24-Авг-25, 11:39	+21 +/–
Если атакующий выполняет на странице свой код, проблемы у вас будут и без дополнений для автоввода пароля. Например, он может перенаправить получателя формы на себя, таким образом украв ваш пароль. А вам сымитировать ошибку.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10

3. Сообщение от Аноним (3), 24-Авг-25, 11:40	+2 +/–
Кипасс спрашивает разрешения на доступ для сайта. Разрешил для левака? ССЗБ. Новость ни о чем.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #6

4. Сообщение от Аноним (4), 24-Авг-25, 11:43	+/–
И только из контекста блин понятно, что это затрагивает (в основном) хром\хромиум-браузеры. И на тестовой странице об этом явное предупреждение есть. А в заголовок вынести это уточнение было нельзя?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #11

5. Сообщение от MxZS (?), 24-Авг-25, 11:59	+/–
Например, дополнение KeePassXC-Browser обращается к базе паролей через менеджер KeePassXC, который при обращении к каждому НОВОМУ ресурсу просит пользователя дать разрешение на использование паролей на КОНКРЕТНОМ веб-сайте. Т.е. даже если элементы/поля ввода данных скрыты и скрыты кнопки их отправки/ввода, как описано в статье, то пользователь увидит запрос от менеджера паролей, что не может не вызвать подозрений. Ну и сам факт того, что для эксплуатации этой "уязвимости" нужен доступ на управление веб-ресурсом или его поддоменом, сводит на нет претензии к разработчикам менеджеров, которые правильно подметили, что проблема фундаментальная, а не в их продуктах.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #25

6. Сообщение от Витюшка (?), 24-Авг-25, 11:59	–5 +/–
Ну то есть не безопасность, а "сам себе дурак". Не ограждения в сталелетейном заводе, а "подпиши документ, обязуйся ему следовать - там написано в чан не падать! Иначе сам себе дурак".
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #17

9. Сообщение от Аноним9000 (?), 24-Авг-25, 12:13	+/–
Ну битварден, например, сливал данные банковской карты по любому клику на "капчу" на любом сайте. Так что там есть что править и в парольном менеджере
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #58

10. Сообщение от Аноним (10), 24-Авг-25, 12:27	+2 +/–
На перенаправленной левой странице менеджер паролей вставку не предложит, а на изменённой через XSS реальной странице предложит.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #18

11. Сообщение от Аноним (10), 24-Авг-25, 12:30	+1 +/–
Метод работает и в Chrome и в Firefox. Про firefox отдельная ремарка, что в нём _нет_ опциональной защиты, которая есть в Chrome (Extension settings → site access → "on click").
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #75

12. Сообщение от 0xdeadbee (-), 24-Авг-25, 12:31	+1 +/–
менетжер паролей pass безопасен ! если плюнуть на фундаментальные проблемы X cliboard, за попытку отрефакторить которые мне в панамку напихали. Package: pass Version: 1.7.4-6 Priority: optional Section: admin Source: password-store Maintainer: Colin Watson <cjwatson@debian.org> Installed-Size: 131 kB Depends: gnupg, tree Recommends: git, qrencode, xclip, wl-clipboard Suggests: libxml-simple-perl, perl, python, python3, ruby Homepage: https://www.passwordstore.org/ Download-Size: 34.0 kB APT-Sources: https://deb.debian.org/debian bookworm/main amd64 Packages Description: lightweight directory-based password manager Stores, retrieves, generates, and synchronizes passwords securely using gpg and git.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #28, #30

15. Сообщение от Аноним (15), 24-Авг-25, 12:56	+1 +/–
Всегда вручную копирую пароли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #19

16. Сообщение от Аноним (16), 24-Авг-25, 13:13 Скрыто ботом-модератором	–1 +/–
Картинка то крутая. https://www.animenewsnetwork.com/thumbnails/crop600x315gHL/h...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

17. Сообщение от Аноним (17), 24-Авг-25, 13:37	–1 +/–
Запрос доступа - это и есть ограничения по твоей аналогии. Если ты за них перелез - то да, сам дурак.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

18. Сообщение от Аноним (17), 24-Авг-25, 13:39	+5 +/–
Блин, если страницу кто-то изменил через XSS, то проблемы у вас _намного_ хуже, чем воровство паролей. Все ваши данные на сайте уже у злоумышленника.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

19. Сообщение от Аноним (19), 24-Авг-25, 13:45	+2 +/–
Зловред: - Всегда сижу и жду когда кто-нибудь скопирует пароль
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15 Ответы: #36

20. Сообщение от Аноним (19), 24-Авг-25, 13:47	+/–
Все переходим на passkey, нечему будет утекать
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #22

22. Сообщение от Голдер и Рита (?), 24-Авг-25, 14:03	+/–
Detecting Compromise of Passkey Storage on the Cloud https://www.usenix.org/system/files/conference/usenixsecurit...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20

23. Сообщение от YetAnotherOnanym (ok), 24-Авг-25, 14:10	+1 +/–
> браузерные дополнения подставляют диалог с запросом автоподстановки пароля непосредственно на отображаемую страницу, интегрируя свои элементы в DOM (Document Object Model) данной страницы Оказывается, если пустить к себе домой постороннего человека для какой-то работы, он может получить доступ к вещам в доме. Вот сюрпрайз-то какой!
Ответить \| Правка \| Наверх \| Cообщить модератору

24. Сообщение от Аноним (24), 24-Авг-25, 14:29	+/–
Никогда не пользовался именно браузерными хранилками паролей, потому что сама идея хранить пароли в приложении, через которое тебя в первую очередь будут ломать кажется тупой изначально. Но если уж делать это в браузере, то это же очевидно что диалоги из таких дополнений должны быть вне пределов страницы. Например как у расширения для Яндекс Музыки. Встраивая что-то в страницу мы сразу даём возможность этим манипулировать изнутри страницы. Вроде бы это очевидно должно быть разрабам таких продуктов. К слову такая же уязвимость есть не только в расширениях, но и в самом Хроме. Если пароль для сайта был запомнен, то он автоматически вводится в форму. Осталось только считать из неё данные или отправить на свой сервер.
Ответить \| Правка \| Наверх \| Cообщить модератору

25. Сообщение от 12yoexpert (ok), 24-Авг-25, 14:42	–2 +/–
ну то есть все аддоны подвержены, но keepassxc ты всё равно прорекламируешь, деньги-то уплочены
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #57

26. Сообщение от Аноним (26), 24-Авг-25, 14:44	–1 +/–
> Хорошо, что под Вяленым Кипасс не умеет автотайпить. Ну дык, этож от вендузятников для вендузятников: https://marektoth.com/images/protonui.png https://marektoth.com/images/dombased-passkeys2.png > Software: Greenshot [Greenshot is a light-weight screenshot software tool for Windows] >
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

27. Сообщение от Аноним (27), 24-Авг-25, 14:46	+1 +/–
Во времена XUL таких проблем не было.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #73

28. Сообщение от 12yoexpert (ok), 24-Авг-25, 14:48	–5 +/–
фундаментальные проблемы с иксами только у фанатиков вяленого, запускающих у себя варезный мусор вместо софта поневоле задумаешься, а в иксах ли дело?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #38

29. Сообщение от глаза втекли обратно (?), 24-Авг-25, 15:01	–1 +/–
Да вы гляньте на видео! Там норм отрисовка шрифтов. Не ШГ! Как они этого добились? Там же Линукс!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31, #46

30. Сообщение от щука улетела лебедь утонул (?), 24-Авг-25, 15:05	+/–
Нет буфера обмена - нет проблемы. И пользователь такой сидит как краб и таращит.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

31. Сообщение от Аноним (26), 24-Авг-25, 15:26	+/–
> Да вы гляньте на видео! Там норм отрисовка шрифтов. Не ШГ! Как > они этого добились? Там же Линукс! Ты видео точно глядел? Там "Windows NT 10.0"
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29 Ответы: #34

34. Сообщение от снова вытекли (?), 24-Авг-25, 16:08	+/–
Да я только первые секунды. Тьфу ты! Так и знал, что засада.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #31

35. Сообщение от Аноним (35), 24-Авг-25, 16:09	+/–
Почему при вставке пароля окно подтверждения не вызвать через window.open?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #37

36. Сообщение от Аноним (36), 24-Авг-25, 16:21	+/–
Не доверяешь своему десктопу - изолируй в отдельный десктоп + отдельного юзера. Или сделай отдельный magick-cookie в иксах, чтобы заработало Xsecurity и недоверенные приложения не видели инпут и буферы обмена друг у друга.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

37. Сообщение от Аноним (36), 24-Авг-25, 16:25	+/–
Хороший вопрос. Почему не делают это в отдельном окне, с возможностью ткнуть по "показать подробнее" с указанием на то, в какой элемент предлагается вставка?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #35