Vor einigen Monaten haben wir Ihnen einige Einblicke in die Sicherheit unserer Web-Erweiterung gegeben und unseren Ansatz für die Sicherheit unserer Web-Plattform erläutert. In diesem Artikel möchten wir einen Schritt weitergehen und aufzeigen, dass unser weborientiertes Erlebnis viel mehr ist als eine Web-App. Außerdem möchten wir einige Risikoszenarien vorstellen, die wir bei der Entwicklung unseres neuen weborientierten Erlebnisses berücksichtigen.
Web-App vs. Erweiterung
Starten wir mit einer kurzen Wiederholung.
- Websites und Web-Apps stellen Inhalte wie HTML-Dateien, Bilder und Javascript-Dateien über einen Server bereit. Eine Web-App ist ein Website-Typ, der zusätzliche Funktionen und interaktive Elemente enthält. Durch Eingabe von app.dashlane.com gelangen Sie in jedem Browser zur Web-App von Dashlane. Sie erhalten auf diese Weise zwar Zugriff auf Ihren Datentresor, allerdings steht Ihnen hier lediglich eine abgespeckte Dashlane-Version ohne die Funktion zum Autovervollständigen zur Verfügung.
- Im Gegensatz dazu ist eine Browser-Erweiterung eine Anwendung, die Sie in einem Browser Ihrer Wahl installieren, z. B. Chrome, Firefox oder Edge. Browser-Erweiterungen sind nativen Anwendungen sehr ähnlich, da sie lokal ausgeführt werden und für ihre Ausführung kein Serverzugriff erforderlich ist. Dass die Erweiterung ausgeführt wird, erkennen Sie daran, dass die URL wie folgt aussieht: chrome-extension://fdjamakpfbbddfjaooikfcpapjohcfmg/credentials.
Um den vollen Funktionsumfang von Dashlane nutzen zu können, ist es empfehlenswert, die Web-Erweiterung von Dashlane zu installieren. Diese bietet unter anderem das Autovervollständigen, Pop-up-Karten für die Passwortgenerierung und einen sicheren Tresor.
Dies ist die bequemste und sicherste Art, Dashlane auf einem Desktop-PC bzw. einem Laptop zu nutzen.
Betrachten wir nun, warum wir das potenzielle Risiko von Angriffen beurteilen und wie wir dies tun.
Angriffsszenarien
Es gibt immer irgendein Risiko. Deshalb legen Unternehmen wie Dashlane großen Wert auf eine kontinuierliche Bewertung von Bedrohungen und Angriffsszenarien.
1. Code-Manipulation
Die Erweiterung unterstützt nicht nur das Autovervollständigen, sondern ist mit der zusätzlichen Sicherheitsebene auch eine zentrale Komponente unseres weborientierten Erlebnisses. Dank der Erweiterung ist gewährleistet, dass der vom Kunden verwendete Code zulässig ist und nicht von Betrügern manipuliert wurde. Im Rahmen unseres Entwicklungszyklus signieren wir die Erweiterung vor ihrer Veröffentlichung im Browser-Store. Damit bestätigen wir, dass Dashlane der Herausgeber ist. Aktualisierungen werden über den Aktualisierungsmechanismus des Browsers sichergestellt und wir nutzen den Überprüfungs- und Genehmigungsprozess der Store-Anbieter, was eine zusätzliche Sicherheitsebene für unsere Kunden darstellt. Dies gewährleistet die Integrität und den Herkunftsnachweis der Dashlane-Erweiterung und verhindert, dass Hacker diese Verbindung manipulieren und beispielsweise eine alternative oder gefälschte Version der Webanwendung anzeigen.
2. Datendiebstahl (gespeicherte Daten in Speichern)
Die Erweiterung läuft in einer isolierten Umgebung, Sandbox genannt. In der IT bezeichnet eine Sandbox einen Sicherheitsmechanismus, mit dem ein Programm ausgeführt werden kann, ohne dass es mit anderen Vorgängen auf einem Gerät interagiert. In diesem Fall kann also keine andere Website oder Erweiterung auf Ihre Dashlane-Daten zugreifen. Allerdings könnte jemand, der sich Zugang zu Ihrem physischen Gerät verschafft und sich bei Ihrem Betriebssystem anmeldet, immer noch auf alle Informationen auf diesem Gerät zugreifen. (Das gilt für alle Sicherheitsprodukte: Niemand kann Schaden verhindern, wenn Sie Ihre Haustür nicht abschließen!) Wir empfehlen Ihnen, Ihr Gerät durch ein Passwort und biometrische Daten zu sichern. Sie können zur Sicherung des Zugriffs auf die Dashlane-Erweiterung auch biometrische Daten aktivieren.
3. Überlistung der Engine für automatisches Ausfüllen im Browser
Dieser Phishing-Angriff erfolgt, wenn eine Person auf einer nicht vertrauenswürdigen Website zur Eingabe von Informationen in ein Online-Formular bewegt wird und ihr Tool zum automatischen Ausfüllen (Ihr Browser oder Passwort-Manager) dann mehr Informationen eingibt, als es sollte. Es ist wichtig zu wissen, dass Dashlane auf einer Website keine Daten automatisch ausfüllt, wenn die URL in Ihren Zugangsdaten nicht mit der URL der Website übereinstimmt. Als zusätzliche Sicherheitsmaßnahme fordern wir Sie vor dem automatischen Ausfüllen von Zahlungsinformationen immer zur Eingabe Ihres Master-Passworts auf. Wir arbeiten kontinuierlich an der Verbesserung des Schutzes unserer Engine zum automatischen Ausfüllen, um Hackern ihr Vorhaben zu erschweren. Wenn Sie mehr über Phishing erfahren möchten oder wissen möchten, wie Sie das Bewusstsein für Phishing bei sich oder in Ihrem Unternehmen steigern können, finden Sie weitere Informationen in unserem Leitfaden zu Grundlagen des Phishings oder in unseren Blog-Ressourcen.
4. Beschädigungen durch Abhängigkeiten
Nahezu jedes Technologieprodukt basiert auf einer Mischung aus internem Code, Tools von Drittanbietern und externen Codebibliotheken aus der Open-Source-Community. So könnte ein Angreifer unter Umständen fehlerhaften Code in eine dieser Bibliotheken einschleusen. Aus diesem Grund überprüfen wir regelmäßig alle Abhängigkeiten unserer Erweiterung. Wir greifen nur auf gut geführte Bibliotheken aus der Community zurück, bei denen wir sicher sein können, dass eingespielter Code ausreichend geprüft wurde. Auch Angriffe, die auf Dynamic-Link Library(DLL)-Injections basieren, können die Dashlane-Erweiterung nicht direkt angreifen, da es sich bei der Erweiterung nicht um eine ausführbare Datei (wie eine Desktop-Anwendung) handelt und sie in Ihrem Browser in eine Sandbox integriert ist, sodass die Bibliotheken nicht dynamisch geladen werden.
5. Kompromittierung von Dashlane
Gehen wir einmal vom schlimmsten Fall aus – wenn das Unternehmen Dashlane angegriffen wird. Eine solche Bedrohung kann verschiedene Ausprägungen haben. In den meisten Fällen hätte dieser Angriff dank unserer Zero-Knowledge-Architektur für Sie als Kunden keine negativen Auswirkungen. Nur Sie kennen Ihr Master-Passwort, also den Schlüssel zu Ihrem Tresor. Da niemand sonst diese Information hat, können Hacker nicht auf Ihren Tresor zugreifen.
Bei einem anderen Angriff könnte die Entwicklungsinfrastruktur von Dashlane im Rahmen eines SolarWinds-Hacks angegriffen werden, um so Schadcode oder eine Backdoor in die Dashlane-Anwendung einzuschleusen. Dies ist ein kritisches Risiko, und wir tun unser Bestes, um uns vor einer solchen Bedrohung zu schützen: bewährte Praktiken bei der Softwareentwicklung, Richtlinien, die nur die minimal erforderlichen Zugriffsrechte gewähren (Least-Privilege-Prinzip), mehrfache Genehmigungen bei Änderungen am Code … und die Verwendung von Dashlane, damit die Passwörter unseres Unternehmens sicher und im Besitz der richtigen Mitarbeiter sind! Genauere Informationen dazu sind in diesem Blogbeitrag zu finden, in dem wir erklären, wie wir die Bedrohungen gegen Dashlane einschätzen.
Wir arbeiten kontinuierlich daran, unseren Kunden ein Höchstmaß an Schutz zu bieten. Deshalb werden wir bei allem, was wir tun, stets sehr aufmerksam vorgehen – angefangen bei der technischen Entwicklung neuer Funktionen bis hin zur Verwaltung unserer Serverinfrastruktur. Weitere Informationen finden Sie in unserem Whitepaper zum Thema Sicherheit.
Melden Sie sich an, um Neuigkeiten und Updates zu Dashlane zu erhalten
