Firefox的密碼管理機制被爆安全強度不足

研究人員發現，Mozilla Firefox或Thunderbird的密碼管理服務使用的加密技術強度不足，可能被暴力破解，使用戶各種網站及服務的密碼曝光。
 
一般情況下，當用戶同意瀏覽器如Firefox記憶包括郵件信箱、社群網站或網路銀行等線上服務時，這些密碼往往以明碼儲存。為了提高安全性，Firefox及郵件軟體Thunderbird提供了主密碼（Master Password）可用設定。當啟用這項功能，用戶需要輸入一個主要密碼，而用戶儲存的所有密碼，都會被以主密碼及其主要金鑰加密後儲存，以達到保護使用者密碼的目的，防止電腦讓別人使用或被偷偷存取時竊密。
 
不過AdBlock Plus擴充程式開發人員Wladimir Palant發現Mozilla/Firefox的主密碼系統卻有加密強度不足的問題。當他檢視這功能程式碼發現一個sftkdb_passwordToKey()函式，這個函式可將隨機的鹽（salt）及用戶主密碼組成的字串，運用SHA-1雜湊運算將密碼轉換成加密金鑰。他指出，任何設計過網站登入功能的人都看得出有點問題。
 
Palant所指的問題在於，SHA-1函式的循環（iteration）次數為1次，安全業界一般認為1萬次以上才夠安全，而知名密碼管理服務LastPass則做到10萬次。Firebox、Thunderbird的加密強度相形之下十分薄弱。
 
他指出，在近3.2億次雜湊中，只有116個SHA-1雜湊無法還原，成功率將近99.9999%。而且今天GPU如此強大，以nVidia GTX 1080顯卡為例，每秒可做85億次SHA-1雜湊運算，即85億次密碼測試。同時間，人類平均密碼強度僅40-bits，需暴力破解的話，需測試2的39次方次。運用一塊nVidia顯卡平均只要1分鐘即可破解主密碼，進而得到主金鑰及所有網站密碼。
 
Bleeping Computer引述Mozilla的bug tracker顯示，9年前Master Password技術剛推出時，就有研究人員指出相同問題，也就是說這個問題持續了將近10年。
 
在Palant將該瑕疵通報Mozilla後，Mozilla已經解決，本周並釋出代號為Lockbox的新密碼管理員擴充程式。