CVE-2023-36266
CVE-2023-36266への対応
NISTリンク
説明
ある研究者が、Keeper Desktopおよびブラウザ拡張機能の使用時にローカルメモリがスキャンされる問題についてCVE (CVE-2023-36266) を申請しました。
Keeperへの影響
Keeperはこのご指摘には異議を唱えています。Keeperは、NCC GroupやCybertestをはじめとする第三者の専門家、および独立したセキュリティ研究者による侵入テストを、全製品・全システムを対象に四半期ごとに実施しています。また、脆弱性開示およびバグバウンティプログラムの運用ではBugcrowdとも提携しています。これらのテストでは、アプリケーションの使用中とログアウト後の両方について、メモリ上でのシークレットの保存状況を明示的に検証しています。Keeperはログアウト時にボルトの復号済みデータをメモリから完全に削除するほか、ボルトの自動ロック時にもメモリを消去してアプリを再起動する設定を用意しています。この機能は侵入テストの担当者によって検証済みであり、テスト結果はお客様にもご確認いただけます。
どのソフトウェア製品でも同様ですが、攻撃者がローカルコンピューターを制御できる場合、その攻撃者はユーザーやアプリケーションが実行できる操作を行うことができます。パスワードマネージャーの場合、攻撃者が任意のメモリを読み取れる状況では、アプリケーションの使用中に限り、復号済みのパスワードマネージャーの内容を読み取られるおそれがあります。これはどのパスワード管理製品にも当てはまる事象であり、セキュリティ研究者の間でも、デバイスが完全に侵害された状況ではユーザーへの影響が深刻になることは広く認識されています。
Keeperは、侵害されたエンドユーザーデバイスから利用者を守るため、複数のセキュリティ機構を備えています。Keeperのクライアントソフトウェアは、ログインに成功した時点でのみユーザーのボルトを復号し、使用中の復号済みの値は揮発性メモリにのみ保持します。ユーザーがログアウトまたはタイムアウトになると、復号済みの値はメモリから削除されます。さらに、Keeperデスクトップアプリケーションでは「セキュリティ」画面の設定により、自動ログアウト時にアプリケーション全体を再起動させ、ロック時にデータが確実にクリアされるようにできます。Chromeなどのウェブブラウザの場合、Keeperはログアウト後にメモリの消去を要求しますが、ブラウザ自体のメモリ管理はKeeperの制御範囲外であり、メモリ管理システムによる処理の完了に時間がかかることがあります。
エンドユーザー向けソフトウェア全般において、セキュリティのベストプラクティスに従い、すべてのソフトウェアを最新の状態に保ち、適切なアンチウイルス / マルウェア対策ソフトウェアを導入することで、デバイスが侵害されるリスクを抑えることが重要です。
Keeperは10年以上にわたり、業界最高水準のゼロ知識およびゼロトラストのセキュリティモデルと、その内容を透明性を持って公開する姿勢により、お客様の最も重要なデータを守り続けてきました。Keeperのセキュリティおよび暗号化モデルについて詳しくは、以下をご覧ください。
セキュリティ関連のお問い合わせは以下のメールアドレスまでご連絡ください。 メールアドレス: security@keepersecurity.com
最終更新