Zero knowledge bij wachtwoordmanagers niet waterdicht

In dit artikel:

Onderzoekers van ETH Zürich en USI Lugano hebben recent meerdere gangbare wachtwoordmanagers onderzocht en concluderen dat de veelgehoorde belofte van “zero‑knowledge” niet altijd opgaat. De studie keek onder meer naar Bitwarden, Dashlane en LastPass — diensten met samen tientallen miljoenen gebruikers — en vond dat bepaalde veelgebruikte functies de vertrouwelijkheid ondermijnen zodra de serveromgeving wordt aangetast.

Het kernprobleem zit in herstel- en deelmechanismen en ondersteuning voor oudere clients. Tijdens die processen worden cryptografische sleutels uitgewisseld zonder voldoende controle op hun integriteit. Een aanvaller met servertoegang (via een hack of misbruik van beheerdersrechten) kan die sleutels vervangen door eigen exemplaren, waardoor later versleutelde kluizen kunnen worden ontsleuteld of zelfs overgenomen. Het gaat niet om het kraken van sterke encryptie, maar om het misbruiken van omliggende processen en aannames in het ontwerp.

De onderzoekers merken op dat deze zwaktes technisch eenvoudig zijn maar lange tijd onopgemerkt bleven, ondanks audits en uitgebreid onderzoek naar wachtwoordmanagers. Vergelijkbare ontwerpkeuzes komen volgens hen ook bij andere leveranciers voor; 1Password werd genoemd als voorbeeld waar kwetsbaarheden afhankelijk zijn van ingeschakelde functies en configuraties.

Voor gebruikers en organisaties betekent dit dat “zero‑knowledge” geen absolute garantie is: het is een doel dat rust op bepaalde voorwaarden. Aanbevelingen zijn onder meer kritisch kijken welke herstel- en deelopties echt nodig zijn, functies terugschakelen waar mogelijk, en het dreigingsmodel van accounts expliciet herzien. Ondanks de bevindingen blijven wachtwoordmanagers nuttig, maar configuratie en beleid bepalen nu in sterke mate het veiligheidsniveau.