研究发现密码管理工具的严重安全缺陷

加州伯克利的研究人员发现了流行密码管理工具的严重安全缺陷。他们将在下个月举行的安全会议上公开报告（PDF）。

研究人员检查了LastPass和其它四个基于Web的密码管理器，发现它们都存在致命缺陷，允许攻击者远程从用户密码库提取出明文密码。LastPass和三家密码管理器已经修正了漏洞。

这一发现敲响了警钟，如果学术研究人员能找到破解密码管理器的方法，那么那些经常窃取用户银行账户的骇客应该也能做到。

研究人员说，密码管理器的漏洞将允许攻击者一次性的窃取密码库中的所有密码，因此密码管理器的流行将恶化问题。

他们在LastPass发现了一个最严重漏洞，密码管理器的书签功能用于自动在网站上填写密码，书签功能的一个bug允许一个网站上嵌入的恶意代码可以窃取其它网站的凭证。

攻击者能利用该漏洞入侵使用LastPass登录的用户，只要用户点击书签，攻击者可悄悄窃取属于其它网站的明文密码。