ETH Zurich: zero knowledge של Bitwarden, LastPass ו-Dashlane נשבר מול שרת פרוץ
חוקרי ETH Zurich ו-USI הציגו ב-16 בפברואר 2026 תקיפות נגד שלושה מנהלי סיסמאות, בתרחיש שבו השרת של הספק פרוץ. הספקים אומרים שחלק מהחולשות כבר מטופל.
TL;DR בקצרה
- לפי The Register, החוקרים מצאו 12 התקפות מוצלחות על Bitwarden, 7 על LastPass ו-6 על Dashlane.
- התרחיש קיצוני: התוקף שולט בשרת של הספק ומשנה את התשובות שהאפליקציות מקבלות.
- הספקים מציינים שאין עדות לניצול נגד לקוחות, ושחלק מהממצאים כבר תוקן או מטופל.
- החוקרים מעריכים שרוב המשתמשים לא יהיו מטרה, אבל לא שוללים שגופים מתקדמים מכירים את השיטות.
חוקרים מ-ETH Zurich הראו שהבטחת ה-zero knowledge של מנהלי סיסמאות לא מחזיקה מול שרת פרוץ. הבדיקה כללה את Bitwarden, LastPass ו-Dashlane. The Register דיווח על המחקר ב-16 בפברואר 2026. המצב שנבדק קיצוני: התוקף לא רק גונב קבצים מהספק, אלא שולט בשרתים שלו.
מה בדק הצוות: zero knowledge מול שרת עוין
מנהלי סיסמאות בענן מבטיחים הצפנה בסגנון zero knowledge. כלומר, ההצפנה נעשית אצלכם במכשיר, והספק לא יכול לקרוא את הכספת. זו הבטחה חזקה, אבל לדברי החוקרים אין לה הגדרה טכנית מדויקת.
הצוות מ-ETH Zurich ומהאוניברסיטה של איטליה השוויצרית (USI) בדק מה קורה כשהשרת עצמו עוין. בדגם הזה התוקף משנה את התשובות שהאפליקציות והתוספים מקבלים. החוקרים טוענים שאף ספק מהשלושה לא מגדיר איזה איום המוצר שלו אמור לעצור. לפי המאמר, הספקים הנבדקים משרתים יחד מעל 60 מיליון משתמשים, ובערך 23% מהשוק.
12, 7 ו-6 התקפות: מה מצאו בכספות
לפי The Register, החוקרים הצליחו ב-12 התקפות על Bitwarden, ב-7 על LastPass וב-6 על Dashlane. בשבע מהתקיפות על Bitwarden, בשלוש על LastPass ובאחת על Dashlane התוצאה היא חשיפת סיסמאות. בחלק מהמקרים אפשר היה גם לשנות רשומות, להוסיף פריטים או להחליש את ההגנה.
רוב התקיפות נשענות על פעולות שגרתיות, כמו כניסה לחשבון, פתיחת הכספת או סנכרון. אחרות דורשות צעד מסובך: החלפת מפתחות, הצטרפות לארגון, שיתוף סיסמאות או לחיצה על חלון מטעה.
הבעיה היא בעיצוב ולא בבאג אחד. לפי Help Net Security, החוקרים מנו ארבע חולשות חוזרות. הראשונה היא חוסר אימות של מפתחות, והשנייה הצפנה בלי אימות שלמות. השלישית היא הפרדה לקויה בין מפתחות, והרביעית תמיכה בקריפטוגרפיה ישנה לצורך תאימות לאחור. פרופ׳ קנת׳ פטרסון מ-ETH Zurich אמר שהם הופתעו מחומרת הפגיעויות.
החוקרים מעריכים שרוב המשתמשים לא יהיו מטרה, כי ההתקפות דורשות מיומנות רבה. הם לא שוללים שגופים מתקדמים, ובהם גורמים מדינתיים, כבר מכירים את הטכניקות. אף ספק לא דיווח על עדות לניצול נגד לקוחות.
מה אמרו הספקים על zero knowledge
Bitwarden כתבה ב-16 בפברואר שהחוקרים בדקו בהתחלה עשר התקפות, ובפרסום פיצלו אותן לשתים עשרה. לדבריה, הממצאים דורגו בינוניים או נמוכים. שבע הבעיות טופלו או בטיפול פעיל, ושלוש התקבלו כהחלטות עיצוב הכרחיות לפעולת המוצר.
Dashlane הסירה תמיכה בקריפטוגרפיה ישנה, שאפשרה התקפת הורדת דרגה. לדבריה, התיקון יצא בתוסף 6.2544.1 בתחילת נובמבר 2025, ואין עדות לניצול. LastPass מסרה ל-The Register שהיא יישמה כמה צעדי חיזוק מיידיים. את השאר היא תטפל לפי רמת הסיכון שהיא מעריכה.
גם 1Password פרסמה תגובה ב-16 בפברואר. לדבריה, המחקר לא מציג וקטורי תקיפה חדשים מעבר למה שמתועד במסמך האבטחה שלה. היא מודה שאין שיטה חזקה לאמת מפתח ציבורי של נמען.
מה קרה מאז: הגרסה העדכנית של המאמר ב-ePrint היא מ-12 באוגוסט 2026. היא כוללת גם תוצאות על 1Password. המאמר שייך לכנס USENIX Security 2026 בבולטימור.
מה זה אומר עבורכם
- עדכנו את האפליקציה והתוסף: התיקונים מגיעים בעדכוני לקוח. התיקון של Dashlane יצא בתוסף 6.2544.1.
- אל תעברו בבהלה: התקיפה דורשת שליטה מלאה בשרת הספק, ואף ספק לא דיווח על ניצול.
- בחרו סיסמת אב ארוכה וייחודית: תוקף שהחליש את ההגנה על הכספת צריך לנחש אותה. סיסמה ארוכה מקשה על כך.
- הפעילו אימות דו-שלבי: עשו זאת בחשבונות החשובים. כך גם סיסמה שנחשפה לא תספיק לבדה.
- בארגון, בקשו תשובות כתובות: שאלו את הספק על מודל האיום ועל סטטוס הממצאים. בדקו איפה אתם משתמשים בשחזור חשבון, בשיתוף ובהצטרפות לארגון.
מקורות והרחבה
- You probably can't trust your password manager if it's compromisedThe Register
- Zero Knowledge (About) Encryption: A Comparative Security Analysis of Cloud-based Password ManagersIACR ePrint
- Security through transparency: ETH Zurich audits Bitwarden cryptography against malicious server scenariosBitwarden
- Testing Zero Knowledge Against a Malicious ServerDashlane
- Design weaknesses in major password managers enable vault attacks, researchers sayHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
