Bitwarden hackeado

[alegotardo]

É isso mesmo, mas vamos nos desesperar com calma, porque eu explico:

Pra quem, além de mim, que acreditava estar seguro porque guardava todas as suas senhas em um gerenciador de senha open-source, robusto e confiável, agora levou um belo "soco no estômago".

Antes de tudo pra ficar bem claro: Ninguém quebrou a criptografia do cofre dos usuários, isso está totalmente integro, mas nem por isos suas senhas estão seguras... a uns dois dias atrás o Bitwarden CLI (linha de comando oficial deles) foi comprometida a ponto de conseguirem enviar uma versão maliciosa que foi distribuída pelo NPM... se você tiver a versão 2026.4.0, então "já elvis".

Essa versão age de forma à varrer todas as chaves do cofre depois que você mesmo desbloqueia inserindo a senha mestre

É irônico como nem uma empresa de segurança consegue proteger suas próprias chaves, mas pelo menos fica o aprendizado: de nada adianta ter um algoritmo de criptografia militar se as pessoas continuam escondendo a chave debaixo do tapete na frente da porta.

Já conferiu e trocou suas senhas? Eu felizmente não atualizei pra versão comprometida.

Segue a notícia: https://www.bleepingcomputer.com/news/security/bitwarden-cli-npm-package-compromised-to-steal-developer-credentials/

[Mindyspace]

Vi a notícia e pelo que entendi, não foi que quebraram o Bitwarden em si. O problema foi uma versão maliciosa do CLI que acabou sendo distribuída pelo npm e roubava dados depois que a pessoa desbloqueava o cofre.

Ou seja, a falha foi mais na distribuição do que na segurança do sistema.
Pra quem nem usa esse CLI, provavelmente nem foi afetado. Mesmo assim, serve de alerta pra não sair atualizando tudo no automático e sempre usar 2FA, posso estar errada sim, mas foi o que deu a entender...

[TryNinja]

Na prática, quem baixou/atualizou o Bitwarden CLI pelo NPM entre 5:57 PM e 7:30 PM (intervalo de 1h33m), pode ter tido dados vazados.

Uma pena que esses ataques de supply chain tem se tornado tão comuns. Rolou um com o axios recentemente (biblioteca popularíssima) que poderia ter sido um desastre completo.

Mas só o fato do pessoal do Bitwarden ter deixado isso passar me deixa com um pé atrás.

[sabotag3x]

Uma pena que esses ataques de supply chain tem se tornado tão comuns. Rolou um com o axios recentemente (biblioteca popularíssima) que poderia ter sido um desastre completo.

Não tem como copiar essas bibliotecas para evitar esses ataques? e atualizar só quando realmente necessário?

[joker_josue]

Por acaso, só tenho a versão Android deles.

Mas, é uma quebra de segurança muito significativa.
Infelizmente, é sempre difícil este tipo de sistemas 100% seguros.

Será que isso vai abalar significativamente a confiança dos clientes? Tem-se uma noção de quantos foram afetados?

[pandakitty]

Não tem como copiar essas bibliotecas para evitar esses ataques? e atualizar só quando realmente necessário?

É possível travar a versão de cada biblioteca para que ela não seja atualizada automaticamente, mas dessa forma você pode deixar passar updates críticos de segurança.

Para uma ferramenta sensível de gerenciamento de senhas, é primordial que cada versão de uma nova biblioteca seja verificada e auditada pelo menos de forma superficial antes de qualquer atualização. O mesmo vale para carteiras de cripto.

Por acaso, só tenho a versão Android deles.

Mas, é uma quebra de segurança muito significativa.
Infelizmente, é sempre difícil este tipo de sistemas 100% seguros.

Será que isso vai abalar significativamente a confiança dos clientes? Tem-se uma noção de quantos foram afetados?

Publicaram uma postagem sobre o incidente, informando que não há evidencia que qualquer cliente foi afetado:

https://community.bitwarden.com/t/bitwarden-statement-on-checkmarx-supply-chain-incident/96127

[Forsyth Jones]

Bom, resumidamente, a versão com interface gráfica não foi violada com ataques de supply chain, somente a versão Bitwarden CLI, ou seja, quem usa a versão com interface gráfica está seguro.

Lembrando que não existe nada 100% seguro e garantido, nós temos que nos manter atualizados sobre o que está acontecendo, esse é o nosso melhor instrumento de defesa, e nem sempre atualizar pra versão mais recente, a não ser que seja um update urgente, nem sempre é uma boa ideia, espera sair os comentários, reviews pra ver se vale a pena, ao mesmo tempo, não deixe os seus softwares desatualizados, isso também é uma brecha na segurança.

Eu já falei muito do Keepass aqui, ele tem todas as funcionalidades do bitwarden, só que é gratuito e também open source. Continuo achando que o bitwarden é um bom software, mas o keepass é um gerenciador de senhas definitivo e o mais confiável do mercado, uso ele já vai fazer 10 anos e foi a melhor coisa que eu fiz no mundo digital.

Na prática, quem baixou/atualizou o Bitwarden CLI pelo NPM entre 5:57 PM e 7:30 PM (intervalo de 1h33m), pode ter tido dados vazados.

Uma pena que esses ataques de supply chain tem se tornado tão comuns. Rolou um com o axios recentemente (biblioteca popularíssima) que poderia ter sido um desastre completo.

Mas só o fato do pessoal do Bitwarden ter deixado isso passar me deixa com um pé atrás.

Sim, temos que tomar cuidado, isso tá na moda agora de hackear a galera.

Dica: pra evitar que hackers tenham acesso as suas senhas, faça o seguinte: adicione em cada uma de suas senhas no cofre uma senha com 4 ou 6 caracteres (ou palavras) que só você sabe, essa fica offline, é como se você dividisse suas senhas em dois, sendo a parte final offline que só você sabe... dessa forma, se acontecer algo parecido, os bandidos não vão ter suas senhas "completas". Não é uma solução definitiva, mas já dá um tempo pra você modificar todas as suas senhas...

[joker_josue]

Lembrando que não existe nada 100% seguro e garantido, nós temos que nos manter atualizados sobre o que está acontecendo, esse é o nosso melhor instrumento de defesa, e nem sempre atualizar pra versão mais recente, a não ser que seja um update urgente, nem sempre é uma boa ideia, espera sair os comentários, reviews pra ver se vale a pena, ao mesmo tempo, não deixe os seus softwares desatualizados, isso também é uma brecha na segurança.

Por isso é que eu raramente tenho ativo as atualizações automáticas, especialmente para software sensível.
Prefiro ver a notificação e depois atualizar mais tarde, talvez uns dias ou semanas.

Salvo atualizações extremamente criticas, o software não fica automaticamente inseguro assim que sai uma nova versão.

Qualquer das formas, neste caso, a falha foi por parte da equipa da Bitwarden, que deverá rever procedimentos para aumentar a segurança. Mas, é sempre chato uma empresa de segurança, sofrer este tipo de falhas. Mas, ninguém esta livre que algo aconteça.

[alegotardo]

Na prática, quem baixou/atualizou o Bitwarden CLI pelo NPM entre 5:57 PM e 7:30 PM (intervalo de 1h33m), pode ter tido dados vazados.

Boa! eu acabei falando um monte e não expliquei direito (acho que na pressa de repostar nem eu tinha entendido direito ainda
Mas é isso, foi um ataque a galera bem específica e ao que me parece isso afetou mais a galera que utiliza o Bitwarden para gerenciamento de credenciais em nuvens/servidores, etc... pra ambientes onde a interface de linha de comando é muito mais útil do que a gráfica... e aí o estrago pode ser bem maior.

Bom, resumidamente, a versão com interface gráfica não foi violada com ataques de supply chain, somente a versão Bitwarden CLI, ou seja, quem usa a versão com interface gráfica está seguro.

Sim, mas a pergunta que fica é: até quando?
Como eu falei no OP... a gente confia a segurança das nossas senhas à algo que incontestavelmente ainda é indestrutível até que a computação quântica se torne realidade, mas ainda assim dependemos da confiança em elos muitos frágeis que administram essa tecnologia, e esses não são blindados.

Aí conforme mencionei... se até uma empresa como essa deixa a senha vazas, estamos realmente seguros?
Oh @TryNinja, vamos pegar o código open-source e fazer nosso próprio software auto-custodiado? kkkk

[Forsyth Jones]

Sim, mas a pergunta que fica é: até quando?
Como eu falei no OP... a gente confia a segurança das nossas senhas à algo que incontestavelmente ainda é indestrutível até que a computação quântica se torne realidade, mas ainda assim dependemos da confiança em elos muitos frágeis que administram essa tecnologia, e esses não são blindados.

Sim, minou um pouco a confiança, ngm esperava que isso fosse acontecer, mas agora que isso sirva de incentivo pra eles ficaram mais alertas e atentos ao código. O Bitwarden é de código aberto, neh? Então a comunidade e entusiastas do software que entendem de códigos vão auditar mais o código, a comunidade open source é imensa e tem maiores probabilidades de se tornar cada vez melhor, essa é a beleza do open source.

Ao passo que, não há nada 100% seguro, o mundo digital é uma corrida de gato e rato, hackers éticos e não-éticos, todos tem conhecimento que pode ser usado pro bem quanto pro mal. Ás vezes os dois lados são pegos de surpresa. Para nós que não entendemos códigos, só nos resta confiar em quem faz a auditoria desses códigos, assim como confiamos no Bitcoin por causa da confiança que temos dele ser imutável. Um certo grau de confiança vai ser necessário em tudo, a única certeza que temos é da morte e da matemática que são exatas.

[sabotag3x]

Mais uma ferramenta gigante que sofreu um ataque de supply chain, o DAEMON Tools, usado para criar imagens de disco (formatar o pc): https://www.kaspersky.com/blog/daemon-tools-supply-chain-attack/55691/

O pior é que esse ataque está rolando há quase um mês.. deve ter feito muitas vítimas.

[Forsyth Jones]

Mais uma ferramenta gigante que sofreu um ataque de supply chain, o DAEMON Tools, usado para criar imagens de disco (formatar o pc): https://www.kaspersky.com/blog/daemon-tools-supply-chain-attack/55691/

O pior é que esse ataque está rolando há quase um mês.. deve ter feito muitas vítimas.

Já usei muito no começo de 2010, nem lembrava mais desse utilitário.
Ele é um software proprietário disponível apenas pra Windows, certo?

Eu fico imaginando, como que esses hackers conseguem modificar esses arquivos de instalação, por isso que deve ter um tipo de verificação PGP.

Está chegando uma época, que devemos instalar essas coisas somente se precisar mesmo e depois desinstalar, ou rodar eles em uma máquina virtual ou em um PC só pra isso...

[joker_josue]

Eu fico imaginando, como que esses hackers conseguem modificar esses arquivos de instalação, por isso que deve ter um tipo de verificação PGP.

Está chegando uma época, que devemos instalar essas coisas somente se precisar mesmo e depois desinstalar, ou rodar eles em uma máquina virtual ou em um PC só pra isso...

Eu nunca gostei desse tipo de software. Acho que sempre causaram algum tipo de problema.
Prefiro usar o software nativo quando possível.

É igual a software que dizem ser para "limpar o windows"; "acelarar o windows" e coisas do gênero.

[alegotardo]

Mais uma ferramenta gigante que sofreu um ataque de supply chain, o DAEMON Tools, usado para criar imagens de disco (formatar o pc): https://www.kaspersky.com/blog/daemon-tools-supply-chain-attack/55691/

O pior é que esse ataque está rolando há quase um mês.. deve ter feito muitas vítimas.

Caramba! Ferramenta super famosa que muitos já usaram alguma vez na vida... eu que trabalhei muito nessa área usei pra caramba, principalmente a versão crackeada
Me desculpe, mas me faltam méritos pra te dar (já faz um tempo) por esse aviso.

Já faz um tempo que nõ uso mais ela, seja porque parei de "queimar" CD e DVD faz um tempo, seja também porque migrei totalmente pra Linux já faz alguns anos... a última vez que precisei de algo assim usei o Brasero.

É igual a software que dizem ser para "limpar o windows"; "acelarar o windows" e coisas do gênero.

Cara, o Windows é um "acumulador compulsivo de lixo", não sei como está nas últimas versões, mas até a época que eu usava, confesso que fazia muito uso do tal do cCleaner e mais um outro para caçar e elminiar resíduos de arquivos, tempfiles e desinstalações que manualmente seria muito trabalhoso e difícil de fazer.
Claro que tem muito programa inútil, mas existe sim bons "limpadores" realmente necessários para quem ainda não descobriu a maravilha que é migrar para um OS Linux

[joker_josue]

É igual a software que dizem ser para "limpar o windows"; "acelarar o windows" e coisas do gênero.

Cara, o Windows é um "acumulador compulsivo de lixo", não sei como está nas últimas versões, mas até a época que eu usava, confesso que fazia muito uso do tal do cCleaner e mais um outro para caçar e elminiar resíduos de arquivos, tempfiles e desinstalações que manualmente seria muito trabalhoso e difícil de fazer.
Claro que tem muito programa inútil, mas existe sim bons "limpadores" realmente necessários para quem ainda não descobriu a maravilha que é migrar para um OS Linux

Para mim o cCleaner é, instalar > usar > desinstalar. Esses programas falham na base, porque eles próprios criam esses resíduos quando são desinstalados.

Sempre evito. As suas versões primarias, eram mais eficazes. Agora, desde que começaram a ter versões pagas anualmente, com funcionalidades xpto, simplesmente criaram mais ruido que utilidade.

Já tive mais problemas a usar esse tipo de programas, do que simplesmente marcar na agenda um dia para formatar o PC. Que se a pessoa tiver tudo organizado, consegue fazer isso numa manha, com alguma tranquilidade.

[Forsyth Jones]

É igual a software que dizem ser para "limpar o windows"; "acelarar o windows" e coisas do gênero.

Cara, o Windows é um "acumulador compulsivo de lixo", não sei como está nas últimas versões, mas até a época que eu usava, confesso que fazia muito uso do tal do cCleaner e mais um outro para caçar e elminiar resíduos de arquivos, tempfiles e desinstalações que manualmente seria muito trabalhoso e difícil de fazer.
Claro que tem muito programa inútil, mas existe sim bons "limpadores" realmente necessários para quem ainda não descobriu a maravilha que é migrar para um OS Linux

Para mim o cCleaner é, instalar > usar > desinstalar. Esses programas falham na base, porque eles próprios criam esses resíduos quando são desinstalados.

Sempre evito. As suas versões primarias, eram mais eficazes. Agora, desde que começaram a ter versões pagas anualmente, com funcionalidades xpto, simplesmente criaram mais ruido que utilidade.

Já tive mais problemas a usar esse tipo de programas, do que simplesmente marcar na agenda um dia para formatar o PC. Que se a pessoa tiver tudo organizado, consegue fazer isso numa manha, com alguma tranquilidade.

Já foi a época, hoje em dia com o que encontramos de tutorial no Youtube ou blogs (ou o próprio chatgpt), vc consegue fazer a mesma coisa que esses aplicativos faziam há 15 anos atrás e sem penar o computador.
Hoje até mesmo o windows evoluiiu nessa parte, mas ainda deve ter muitas pessoas que faz essas coisas da década passada.

Já no Linux, a história é outra, vc instala o que quer instalar, nada menos e nada mais que isso, mas tem a curva de aprendizado, costumes, paciência e convivência.

Linux é bom pra quem não tem dinheiro pra comprar licença do windows ou não quer pagar licença pra microsoft e contra big techs, pra quem não liga pra isso ou tem condições, eu não recomendo que desinstale o windows, é bom deixar os dois sistemas em dual-boot, é muito fácil fazer isso, no linux na própria instalação oferece essa possibilidade. Dessa forma vc tem o melhor dos dois mundos, quando precisar usar os aplicativos da adobe ou office, vc liga no Windows, se precisar de alternativas open sources, vc tem o linux.

[joker_josue]

Já foi a época, hoje em dia com o que encontramos de tutorial no Youtube ou blogs (ou o próprio chatgpt), vc consegue fazer a mesma coisa que esses aplicativos faziam há 15 anos atrás e sem penar o computador.
Hoje até mesmo o windows evoluiiu nessa parte, mas ainda deve ter muitas pessoas que faz essas coisas da década passada.

Exato. As coisas estão muito diferentes, e se souber fazer bem as coisas, não precisa desse tipo de programas.
Por isso, é que boa parte desses programas, evoluíram e oferecem coisas totalmente diferentes do que eram inicialmente.


Quanto ao manter Windows. Eu continuo com ele. Já passou o tempo, de andar a "brincar" em gerir o SO. Tenho muita coisa para fazer, preciso de gerir bem o meu tempo.

[Forsyth Jones]

Quanto ao manter Windows. Eu continuo com ele. Já passou o tempo, de andar a "brincar" em gerir o SO. Tenho muita coisa para fazer, preciso de gerir bem o meu tempo.

Às vezes eu concordo com vc, eu já quase deixei de usar o Linux, ele é muito bom quando o usuário souber configurá-lo e saber o que não fazer pra não quebrar o sistema.

Mas depois que acostuma com o sistema, fica difícil largar, depois de muito aprendizado e paciência, eu tô finalmente colhendo os benefícios aprendendo a extrair o máximo do sistema, quando se tem backups do sistema e arquivos pessoais, nada abala mais.

Acredito que esse sistema está começando a evoluir muito a medida que ganham atenção e usuários de outros SO como Windows e Mac. Eu lembro que quando usava há 08 anos atrás, não era simples como hoje, porém ainda não é algo que recomendo minha tia a usar.