KeePass 2 แจ้งข้อมูลอัพเดตผ่าน HTTP, ผู้พัฒนาไม่ยอมปรับเว็บเป็น HTTPS

by lew
8 June 2016 - 04:59

Florian Bogner ผู้ตรวจสอบความปลอดภัยข้อมูลจาก Kapsch BusinessCom AG รายงานถึงช่องโหว่กระบวนการอัพเดตโปรแกรมเก็บรหัสผ่าน KeePass 2 ที่ตัวโปรแกรมจะตรวจสอบจากเว็บผ่าน HTTP ที่ไม่เข้ารหัส จากนั้นจึงแจ้งเตือนให้ผู้ใช้ไปดาวน์โหลดอัพเดตจากเว็บที่ไม่เข้ารหัสอีกเช่นกัน ทำให้ผู้ใช้มีความเสี่ยงว่าจะดาวน์โหลดอัพเดตปลอมหากถูกคั่นกลางการเชื่อมต่อ

Bogner รายงานปัญหานี้ไปยังผู้พัฒนา KeePass ตั้งแต่เดือนกุมภาพันธ์ โดยแนะนำให้ KeePass ปรับเว็บเป็น HTTPS เสียแต่ทาง KeePass ปฏิเสธ หลังจากเปิดเผยช่องโหว่นี้ต่อสาธารณะ ทาง KeePass เลือกเซ็นลายเซ็นดิจิตอลในตัวติดตั้งแทน โดยมีผลตั้งแต่รุ่น 2.34 เป็นต้นไป

ที่มา - Bogner.sh

Blognone Jobs Premium