Le estensioni per la gestione delle password aumentano la praticità. Ma nelle mani dei dipendenti, possono aprire le porte a enormi rischi aziendali. In questo articolo, analizziamo i principali rischi per la sicurezza delle estensioni per la gestione delle password, l'impatto aziendale e le possibili soluzioni per le aziende. Elenchiamo anche le estensioni più diffuse in questa categoria, che potete consentire ai vostri dipendenti di utilizzare.

Cosa sono le estensioni del gestore password?

Le estensioni per la gestione delle password sono componenti aggiuntivi del browser che memorizzano le password dell'utente per siti web e applicazioni SaaS e le compilano automaticamente ogni volta che l'utente visita nuovamente il sito. Questo elimina la difficoltà di dover ricordare e digitare nuovamente le password ogni volta che visita un nuovo sito web. Per ridurre ulteriormente la difficoltà, le estensioni per la gestione delle password possono anche suggerire password complesse e sincronizzare l'accesso tramite password su tutti i dispositivi.

Principali rischi per la sicurezza delle estensioni del gestore password

Sebbene le estensioni per la gestione delle password apportino significativi vantaggi in termini di produttività, comportano anche rischi per la sicurezza. I gestori di estensioni per la gestione delle password possono facilmente diventare un singolo punto di vulnerabilità: chiunque abbia accesso alle password dei dipendenti può teoricamente impersonarli e accedere ai sistemi aziendali. Pertanto, se i dipendenti utilizzano estensioni per la gestione delle password, ponetevi le seguenti domande: 

1. Dove vengono archiviate le password?

Quando i tuoi dipendenti utilizzano un'estensione di gestione delle password per attività lavorative, le password aziendali in genere risiedono:

  • In un caveau crittografato sul server del gestore delle password
  • Sul loro dispositivo locale

Entrambi i tipi di archiviazione comportano rischi per la sicurezza.

    • Volta esterna – Se i server del provider o il livello di connettività tra il provider e i dispositivi vengono compromessi, anche le loro password potrebbero essere esposte.
  • Dispositivo locale – Gli aggressori che accedono all'endpoint potrebbero anche ottenere l'accesso alle password.

2. Chi ha accesso alle mie password? (E l'editore è affidabile?)

Poiché le estensioni dei gestori di password memorizzano le password, gli sviluppatori e i proprietari dell'estensione potrebbero potenzialmente accedervi. Gli editori affidabili specificheranno gli standard di crittografia utilizzati e se operano con una politica di "conoscenza zero" (ovvero non vedranno mai la password principale).

Gli sviluppatori di estensioni meno affidabili o nuovi di zecca potrebbero non avere lo stesso rigore, ovvero non condivideranno il loro modello di sicurezza e le loro policy sulla privacy potrebbero sembrare poco chiare. Detto questo, c'è anche lo scenario in cui un editore affidabile venga violato o acquisito da un malintenzionato. Questo significa che potrebbero sembrare legittimi, ma in realtà si comportano in modo scorretto.

3. Come vengono protette le password?

Le violazioni della sicurezza non sono una questione di "se", ma piuttosto di "quando", e le estensioni dei gestori di password non fanno eccezione. Pertanto, le estensioni dei gestori di password dovrebbero adottare misure di protezione, tra cui:

  • Crittografia delle password end-to-end Con un algoritmo di hashing potente come AES-256 o Argon2. Questo garantisce che, anche se server o canali di trasmissione vengono compromessi, i dati rimangano illeggibili agli aggressori.
  • Architettura a conoscenza zero, Ciò significa che gli sviluppatori dell'estensione non possono accedere ai vault dell'utente. Solo l'utente possiede la chiave di decrittazione, in genere derivata dalla sua password principale.
  • Autenticazione – MFA, token hardware (YubiKey, FIDO2), ecc. come livelli di autenticazione avanzata per chiunque acceda ai vault.
  • Monitoraggio in tempo reale per verificare se credenziali memorizzate compaiono in violazioni note, con richieste automatiche di aggiornamento delle password esposte.
  • Autorizzazioni granulari per garantire un accesso limitato al browser.

4. L'estensione Password Manager può accedere a tutte le mie password?

I gestori di password sono progettati per ridurre l'attrito durante l'accesso a siti web e app SaaS. Ma ciò non significa che debbano avere accesso a contro tutti i password relative al browser.

L'IT può controllare le password aziendali a cui le estensioni hanno accesso in base ai seguenti criteri:

  • Restrizioni a livello di dominio – Limitazione delle autorizzazioni di compilazione automatica a domini specifici rilevanti per l'uso aziendale non critico ed esclusione delle app sensibili.
  • Ruoli dell'utente – Impedire ai ruoli più sensibili, come gli sviluppatori che accedono al codice sorgente, di archiviare le password esternamente.
  • Sensibilità delle credenzialiy – Classificazione delle credenziali in base alla sensibilità (ad esempio, accessi amministrativi privilegiati rispetto ad accessi utente generici) e possibilità di memorizzare solo autorizzazioni di basso livello.
  • Accesso basato sul tempo – Implementazione di un accesso a tempo e di password con scadenza automatica dopo un periodo di tempo prestabilito. Ciò non limita l'accesso alle estensioni, ma ne limita l'applicabilità.

5. Il gestore password può accedere/impersonare altri archivi di password?

Un gestore di password potrebbe offrire la possibilità di importare dati da servizi concorrenti o integrarsi con l'archiviazione delle password basata su browser. Se non gestita con attenzione, questa funzionalità potrebbe consentire involontariamente all'estensione (o a un aggressore che la sfrutta) di impersonare l'utente, copiare password o interi archivi di password o persino manipolarli. Per proteggersi da questo problema, gli strumenti affidabili solitamente limitano le modalità e i tempi delle importazioni e richiedono agli utenti di confermare attivamente tali azioni.

L'impatto aziendale delle vulnerabilità delle estensioni dei gestori di password

Qual è l'impatto di un'estensione del gestore password compromessa? Le aziende possono aspettarsi di dover affrontare:

Violazioni dei dati su larga scala

Quando il database delle password di un dipendente viene compromesso, tutte le credenziali in esso memorizzate possono essere esposte. Ciò significa che gli aggressori possono potenzialmente accedere a tutte le applicazioni basate su browser, potenzialmente come primo passo nella rete aziendale. Se tali password vengono utilizzate come credenziali di amministratore, root o con privilegi, gli aggressori possono persino raggiungere applicazioni mission-critical. Nella rete, possono rubare dati, potenzialmente interrompere operazioni critiche e altro ancora.

Alimentare attacchi futuri

Un vault compromesso non si limita a un singolo attacco. Se il dipendente compromesso adotta una scarsa igiene delle password e le riutilizza, queste possono essere utilizzate per un credential stuffing "riuscito", consentendo agli aggressori di accedere facilmente ad altri sistemi. Anche se le password sono leggermente diverse, gli aggressori possono applicare tecniche di forza bruta o utilizzare strumenti basati sull'intelligenza artificiale per prevedere le variazioni. Inoltre, se queste credenziali vengono vendute sul dark web, diventano ampiamente accessibili ai criminali informatici e possono essere utilizzate per attacchi futuri, alla tua organizzazione o ad altri.

Problemi normativi e di conformità

Le aziende oggi operano sotto una complessa rete di requisiti normativi come GDPR, HIPAA, PCI-DSS, SOX e altri, a seconda del settore e della sede. Questi framework impongono controlli rigorosi sull'archiviazione, la trasmissione e la protezione dei dati sensibili, comprese le credenziali di accesso. Questo perché, quando un'estensione di un gestore di password viene compromessa, la violazione può comportare l'accesso a database contenenti informazioni personali regolamentate, il che costituisce una violazione della conformità.

Le sanzioni possono variare da migliaia a decine di milioni di dollari, a seconda della giurisdizione e dei dati esposti. Oltre alle sanzioni finanziarie, le violazioni spesso comportano indagini normative, audit obbligatori e un maggiore controllo sul livello di sicurezza dell'organizzazione. In alcuni settori, come quello sanitario o finanziario, la non conformità può anche comportare la perdita delle licenze o l'impossibilità di operare in determinate regioni.

Danni alla reputazione e alle imprese

Un'azienda che subisce una violazione a causa di un'estensione compromessa del gestore password non solo si trova ad affrontare ricadute tecniche e normative, ma anche un significativo danno reputazionale. Una violazione della password segnala una violazione delle norme fondamentali sulla sicurezza informatica. I clienti si aspettano che le organizzazioni proteggano il livello di accesso più basilare: le proprie credenziali.

Quando questa fiducia viene meno, possono volerci anni per ricostruirla. Questo può comportare la perdita di fiducia dei clienti, la cancellazione di contratti o l'abbandono del personale. Inoltre, gli investitori potrebbero tirarsi indietro, le operazioni di M&A potrebbero essere ritardate o abbandonate e il morale interno potrebbe crollare. In alcuni casi, si verificano cambiamenti nella dirigenza per ripristinare la fiducia degli stakeholder.

Le 5 estensioni più popolari per la gestione delle password

  1. LastPass
  2. 1Password
  3. North Pass
  4. Gestore di password Norton
  5. Passaggio di protoni

Ultima parte: come LayerX protegge le estensioni del gestore password

LayerX migliora la sicurezza del browser offrendo visibilità e controllo completi sulle estensioni del browser all'interno di un'organizzazione. Identifica tutte le estensioni installate su utenti, browser e dispositivi, consentendo una valutazione approfondita dell'esposizione dell'organizzazione a potenziali minacce. Ogni estensione viene sottoposta a una valutazione automatica del rischio, tenendo conto di fattori come l'ambito delle autorizzazioni e metriche di reputazione esterne come l'affidabilità dell'autore e le valutazioni degli utenti.

Per mitigare i rischi, LayerX consente l'implementazione di policy di sicurezza adattive e basate sul rischio. Queste policy granulari e configurabili possono essere adattate alle esigenze specifiche dell'organizzazione, facilitando il blocco o la disabilitazione delle estensioni ritenute rischiose senza compromettere quelle legittime.

Operando direttamente all'interno del browser, LayerX rileva e gestisce in modo efficace le estensioni dannose, garantendo che gli utenti possano trarre vantaggio da strumenti che migliorano la produttività senza compromettere la sicurezza dei dati.

Scopri di più su LayerX.