L'opzione di passare agli spazi vuoti nei campi della password rappresenta un rischio per la sicurezza?

No, non è un rischio per la sicurezza.

Avere memorizzato le password in un browser è un rischio per la sicurezza. Lasciando che un utente malintenzionato acceda al tuo computer da quando hai digitato la password e prima che venga inviato è un rischio per la sicurezza (e anche dopo averlo inviato, devi preoccuparti del furto di cookie di sessione validi). Essere in grado di passare a spazi vuoti / caratteri speciali in una password digitata non è un rischio.

Dopo che una password è stata digitata nel campo della password, è nel DOM del browser e richiede solo il minimo sforzo per estrarre il valore completo da esso. Ad esempio, se vai alla console javascript dello sviluppatore (ad es., In chrome / linux, digita Ctrl-Shift-J) e digita (puoi saltare le righe di commento che iniziano con // ):

var inputs = document.getElementsByTagName('input');
// find all <input> elements in the page

for ( var i = 0; i < inputs.length; i++) {  
// loop through all <input> elements

    if (inputs[i].getAttribute('type') === 'password') {  
    // find input elements with attribute type="password"

        console.log(inputs[i].value);
        // print the values of these password elements to the screen.
    }
}

Stampa sullo schermo qualunque testo sia digitato in qualunque campo password. (Questo codice equivale a jQuery $('input[type=password]').value , che funzionerà se la pagina web ha caricato jQuery).

Potresti semplicemente digitare la parola javascript: nella barra degli indirizzi e quindi incollare

var inputs=document.getElementsByTagName('input'); for( var i=0; i < inputs.length; i++ ) { if (inputs[i].getAttribute('type') === 'password') alert(inputs[i].value) } 

nella barra degli indirizzi e qualsiasi testo presente in qualsiasi campo della password verrà avvisato. (Nota la maggior parte dei browser rimuoverà la parte javascript: se tenti di incollare l'URL completo, quindi dovrai scriverlo.

javascript:var inputs=document.getElementsByTagName('input'); for( var i=0; i < inputs.length; i++ ) { if (inputs[i].getAttribute('type') === 'password') alert(inputs[i].value) }

Sì, è un rischio per la sicurezza, ma sfruttarlo è molto improbabile.

Può essere sfruttato in questo modo:

1. Qualcuno usa il tuo computer senza te intorno

2. Abbastanza tempo per aprire IE

3. Si connette a un sito Web con una password salvata

4. Ottiene il profilo della tua password e va via

Se l'intruso ha tempo sufficiente per fare tutto quanto sopra, sarebbe molto più semplice e veloce scaricare un keylogger, installarlo, dare tutte le autorizzazioni sul firewall, far sì che l'antivirus lo ignori e andarsene.

Quindi, se stai pensando al profilo della password, hai a che fare con problemi più seri.

La password non viene visualizzata sullo schermo per evitare gli attacchi da spalla, ma è ancora noto al browser. Quando si utilizza un archivio password, fornisce la password effettiva a un'applicazione richiedente e non una sua versione hash o crittografata (che sarebbe molto intrattabile da usare).

Se qualcuno è abbastanza vicino a te da poter usare la tastiera per vedere se hai digitato o meno le parole, allora sono abbastanza vicine da trascinare le tue combinazioni di tasti e la sicurezza della tua password è già compromessa.

Rischio per la sicurezza? Stai perdendo dati, quindi sì è sicuramente un rischio per la sicurezza.

Ma il rischio è la possibilità che accada il momento dell'impatto. La possibilità è bassa perché non è ogni giorno che si digita una password e poi si esce prima di effettuare l'accesso. L'impatto è anche basso perché spesso è molto più semplice rivelare il valore del campo (specialmente nei browser) e anche se no, si Impareremo solo la posizione degli spazi bianchi. Questo lascia ancora molte opzioni quando si rompe la password.

Quindi importa? No, non proprio.

È sfortunato, naturalmente, ma quando l'intruso è già in grado di impersonare te (perché hai dimenticato di bloccare la tua workstation), in linea di principio sarà in grado di accedere alla memoria di IE e leggere direttamente la password. In pratica useresti uno strumento per questo. Una volta, come test, ho letto con successo la mia password utilizzando gli strumenti di sviluppo del browser. Non c'è bisogno di controllo + freccia e brute-forzare i pezzi.

Sarebbe male se questa vulnerabilità fosse presente nella schermata di accesso di Windows, perché renderebbe le password corrette in stile cavallo notevolmente meno sicure. Tuttavia, sul controllo dello schermo di accesso, la freccia salta all'inizio o alla fine della casella di testo.

In molti casi, un utente malintenzionato con accesso fisico al computer potrebbe anche accedere alle impostazioni del browser, visualizzare l'elenco delle password salvate e premere Mostra password e visualizzare tutte le password salvate proprio lì . Poiché anche per questo è richiesto l'accesso fisico al computer, la possibilità di visualizzare le password salvate è molto più pericolosa.