Laverna: URL 라인의 일반 텍스트 암호화 비밀번호!

어디서 발견 했나요? 설정 페이지에서?

아니요, 새로 설치 한 다음 옵션으로 이동하여 암호화 암호를 설정하고 시작 페이지로 돌아 가려고했습니다. enc 키를 입력하라는 메시지가 URL에 비밀번호가있는 페이지로 이동했습니다.

https://i.redd.it/096w6x07l3px.png

얘들 아

https://www.reddit.com/r/softwaregore/comments/55j9wg/very_secure_password_storage_password/

이것이 OS / 브라우저 특정 일 가능성이 있습니까? 모든 스크린 샷이 Windows에서 촬영 된 것 같습니까?

@claell 아니요. 비밀번호는 GET을 통해 전송됩니다. 이 사람들은 보안에 대해 완전히 무지합니다. 이것은 버그가 아니라 과실입니다.

@claell OS 또는 브라우저에 따라 다릅니다. 이것은 잘못 코딩 된 애플리케이션의 결과입니다. 하나는 단순히 GET을 통해 일반 텍스트 로 암호 를 전송하지 않습니다. .....

그리고이 호는 6 개월 이상 공개되었습니다! 이미이 문제를 고쳐라!

@miestasmia @Yrlish 이것은 모든 사용자에게 일어나지 않습니다. 따라서 어떤 경우에는이 나쁜 전송이 있고 다른 경우에는 그렇지 않습니다. 원인이 무엇인지 궁금합니다.

@claell 나는 그들이 POST를 사용하려는 의도를 모았지만 어떤 이유로 든 브라우저가 GET으로 돌아갈 수 있으며 PHP의 $ _REQUEST와 유사한 것을 사용했습니다.

이것은 더욱 일화가됩니다. :)

죄송합니다. 이것은 암호가 어딘가로 전송 되었기 때문이 아니라 암호를 입력 한 후 처음 시작할 때 아마도 ENTER를 입력했기 때문입니다. 기본 동작을 방지하지 않았기 때문에 발생합니다.

처음 시작할 때 의도 한 동작은 양식을 제출하는 대신 "다음"버튼을 클릭하는 것입니다. 그런 다음 암호는 indexeddb에 저장됩니다. 양식 제출을 완전히 차단하여 문제를 해결할 수 있습니다.

많은 사람들이 암호가 특히 여기 에서 서버로 전송되도록 의도되었다고 생각하는 것 같지만 실제로 암호는 POST 요청이 아닌 GET 요청이 아닌 다른 곳으로 전송되지 않았습니다.

오랫동안 문제를 열어서 미안합니다. 문제를 추적 할 시간이 충분하지 않았습니다.

버그가 수정되었습니다. 내가 말했듯이 기본 양식 동작을 방지하는 것을 잊었 기 때문에 발생했습니다. 문제를보고 해 주신 @ jn0 에게 감사드립니다.

Windows 10 Pro x64에서 Chrome 버전 59.0.3071.115 (공식 빌드) (64 비트)를 사용하고 있는데 방금이 문제가 발생했습니다. 내가 입력 한 비밀번호는 내 브라우저 기록에 저장된 URL 표시 줄에 일반 텍스트로 표시되며이 URL을 보여주는 자동 완성 기능을 통해 누구에게나 표시됩니다 (특히 Laverna를 입력 할 때). 비밀번호 공개는 특히 일반 텍스트 비밀번호가 포함 된 내 브라우저 기록이 원격 공격자에게 공개 될 수있는 매우 심각한 보안 취약성입니다.

이 문제는 내 구성에서 처음으로 암호화 된 인스턴스를 만들 때 발생했습니다. 비밀번호가 포함 된 URL은 '잠금 해제'라고 표시되고 앱을 선택하는 화면 바로 뒤에 표시되는 URL입니다. 다음과 같이 표시됩니다. https://laverna.cc/app/?password=PLAINTEXT&cloudStorage=0#/notes/f/task

잘 모르겠지만 여기서 가장 좋은 방법은 해시를 전달하고 비교하거나 양식 제출을 전혀 사용하지 않는 것입니다.