Análisis de seguridad de Dashlane

En mayo de 2016 se realizó un análisis de seguridad:

• Análisis de seguridad de Dashlane por Paolo Gentili, Sarah Shader, Richard Yip, Brandon Zeng

Ese análisis intenta buscar en gran parte los mismos tipos de vulnerabilidades que Li et al. papel citado en la pregunta. Buscaron ataques XSS, pero no encontraron ninguno. También pudieron evitar la función de autenticación del dispositivo de Dashlane. En general, encontraron a Dashlane bastante seguro.

Analizaron la versión 4.1.1 de Dashlane. Dashlane se ha actualizado a la versión 4.6.8.

Cualquier cosa que almacene su contraseña en un servidor en línea fuera de su control debe considerarse insegura; No hay una razón válida para que la totalidad de su colección de contraseñas salga de su red doméstica.

El software que usa su servicio de administrador de contraseñas en línea (no solo se aplica a Dashlane) es probablemente de código cerrado, usted no sabe nada acerca de sus procedimientos de seguridad ni si sus contraseñas están realmente encriptadas o simplemente se encuentran en un archivo passwords.txt .

En segundo lugar, su encriptación: supongamos que utilizan criptografía estándar de la industria que no es defectuosa, y la clave es su contraseña con un hash computacionalmente costoso para evitar la fuerza bruta ... se ve muy bien, ¿no? Pero, ¿qué pasa si un administrador de sistemas, un desarrollador o un atacante no autorizado accediera al servidor? Si bien no puede descifrar directamente la base de datos, puede modificar el código que controla el inicio de sesión para capturar su contraseña y esperar a que inicie sesión. Además, es posible que no sea un objetivo de alto perfil y que ningún atacante pierda su tiempo comprometiendo usted, pero aquí el atacante pretende comprometer todo el servicio de administración de contraseñas para obtener los pases para todos los usuarios, no solo usted.

Luego, hay agentes de la ley, casi siempre pueden obligar a la compañía a revelar sus contraseñas; Si las bases de datos están cifradas, probablemente utilizarán el método indicado anteriormente y esperarán a que inicie sesión. Si bien las contraseñas para la mayoría de los servicios en línea no tienen mucho valor, ya que la policía también puede obligarlas a divulgar sus datos. otros países (donde LA no tiene autoridad) o sus servidores / unidades cifradas son muy valiosos para ellos.

Ahora compárelo con una base de datos Keepass almacenada localmente en un disco duro posiblemente encriptado, donde un atacante debería robar físicamente la máquina (y luego codificar el cifrado de disco y la contraseña de la base de datos), modificarla (agregar un keylogger y esperar) iniciar sesión y descifrar la base de datos de pase), o comprometerla de forma remota, lo que no vale la pena si no eres un objetivo de alto perfil y, a menudo, es difícil.

  

Solo hay una clave para desbloquear los datos cifrados. Por defecto, tú y solo tú lo tienes. Así es como nos aseguramos de que, incluso si los piratas informáticos infringen nuestros servidores, no habrá nada que pueda vincular su información con usted.

Al menos eso es lo que dicen .