- Katılım
- 6 Haziran 2019
- Mesajlar
- 1.990
- Çözümler
- 204
@Dutchman güvenlik alanında uzman, bilgili bir hocamız ama. O yüzden sordum.
Şifre yöneticisi kullanılmalı mı?
- Konuyu başlatan micheal owen
- Başlangıç Tarihi
- Mesaj 39
- Görüntüleme 1.274
BursaliEfsane
Picopat
- Katılım
- 20 Nisan 2025
- Mesajlar
- 867
- Çözümler
- 2
Güvenlik alanında uzman birisi öyle bir yorum yapmaz. Zihinde tutmak nedir? 100 farklı sitede hesabım var her birinin şifresi 20 karakter uzunluğunda ve benzersiz. Hangisini tutacaksın? 2 tanesini bile tutamazsın. Üstelik önerdiği Keeper geçmişte uygulamasında güvenlik açığı bulan kişileri dava etmekle tehdit eden bir şirket.
Daha fazla
- Cinsiyet
- Erkek
- Meslek
- Network/IT Security & Threat Specialist
Zihninizde sakladığınız bir veriye - henüz - sadece siz erişebilirsiniz. Keeper olsun, Bitwarden olsun bu tarz sistemlerin her şekilde veri sızdırma riski vardır. Ne kadar güvenlik taahhüt edilirse edilsin, her sistemin mutlaka bir zaafı vardır. Uçtan uca güvenliği öven arkadaşlar olduğunu gördüm, her söylenen ve taahhüt edilene inanmak bu sektördeki en büyük yanlışlardan biri. Veri kaybıyla tecrübe etmemelerini umarım.
Kağıt kalem kullanın dediğim yazımı gösterdiğiniz taktirde sizden özür dileyeceğim. KDF + salt metodunu hayatınızda duymadığınıza eminim. Verilerinizi, şifrelerinizi sunucularına fiziksel olarak dahi erişemediğiniz bir servise teslim etmeyi güvenli görüyorsunuz. Yorum yok.
Keeper konusuna gelirsek, DLP, MFA, FIDO U2F vs...
Bitwarden daha bundan 2 sene önce, iframe zafiyetiyle müşteri bilgilerinin autofill aktif olduğu drurumlarda sızdırılmasına yol açan bir skandalla gündeme geldi.
Keeper bir şifreleme uygulaması olmanın yanı sıra CNA konumuna geldi. Kendi zafiyet testlerini yapıp bunları CVE olarak bildirebiliyor.
Güldürmeyin yahu, yaşınız kadar bu sektörde deneyimim vardır. İnternette gördüğünüz 3-5 Youtuber'ın videosunu izleyince siber güvenlik uzmanı olunmuyor.
Kesinlikle, bakın 100 farklı sitede hesabınız varmış, hepsi de Bitwarden hizmetine teslim edilmiş değil mi? Yani tek bir şifrenin sızdırılması demek, o 100 şifrenin de sızdırılması demek
.2FA masalını okumaya gerek yok, çok rahatlıkla bypass edilebildiğini bilmeyen yok sanırım. Hedef alınmanız yeterli.
Tekrarlıyorum, en doğru ve en güvenli yöntem, çevrimdışı yöntemdir. Fiziksel olarak koruyabileceğiniz bir yapıda kriptografik olarak depolamak, Keeper'mış Bitwarden'mış hepsinden daha güçlü bir yöntemdir.
Fiziksel olarak hedef alınmadığınız müddetçe de bunun çözülmesi mümkün değildir.
wraxos woo
Centipat
- Katılım
- 20 Mart 2025
- Mesajlar
- 3.158
- Makaleler
- 1
- Çözümler
- 18
Daha fazla
- Cinsiyet
- Erkek
Zihninizde sakladığınız bir veriye - henüz - sadece siz erişebilirsiniz. Keeper olsun, Bitwarden olsun bu tarz sistemlerin her şekilde veri sızdırma riski vardır. Ne kadar güvenlik taahhüt edilirse edilsin, her sistemin mutlaka bir zaafı vardır. Uçtan uca güvenliği öven arkadaşlar olduğunu gördüm, her söylenen ve taahhüt edilene inanmak bu sektördeki en büyük yanlışlardan biri. Veri kaybıyla tecrübe etmemelerini umarım.
Kağıt kalem kullanın dediğim yazımı gösterdiğiniz taktirde sizden özür dileyeceğim. Kdf + salt metodunu hayatınızda duymadığınıza eminim. Verilerinizi, şifrelerinizi sunucularına fiziksel olarak dahi erişemediğiniz bir servise teslim etmeyi güvenli görüyorsunuz. Yorum yok.
Keeper konusuna gelirsek, DLP, mfa, fıdo u2F vs...
Bitwarden daha bundan 2 sene önce, iframe zafiyetiyle müşteri bilgilerinin autofill aktif olduğu drurumlarda sızdırılmasına yol açan bir skandalla gündeme geldi.
Keeper bir şifreleme uygulaması olmanın yanı sıra cna konumuna geldi. Kendi zafiyet testlerini yapıp bunları cve olarak bildirebiliyor.
Güldürmeyin yahu, yaşınız kadar bu sektörde deneyimim vardır. İnternette gördüğünüz 3-5 YouTuber'ın videosunu izleyince siber güvenlik uzmanı olunmuyor.
Kesinlikle, bakın 100 farklı sitede hesabınız varmış, hepsi de Bitwarden hizmetine teslim edilmiş değil mi? Yani tek bir şifrenin sızdırılması demek, o 100 şifrenin de sızdırılması demek
2FA masalını okumaya gerek yok, çok rahatlıkla bypass edilebildiğini bilmeyen yok sanırım. Hedef alınmanız yeterli.
Tekrarlıyorum, en doğru ve en güvenli yöntem, çevrimdışı yöntemdir. Fiziksel olarak koruyabileceğiniz bir yapıda kriptografik olarak depolamak, keeper'mış Bitwarden'mış hepsinden daha güçlü bir yöntemdir.
Fiziksel olarak hedef alınmadığınız müddetçe de bunun çözülmesi mümkün değildir.
Anladım siz self hosting sunucumuza kendi şifre yöneticimizi kurmamızı destekliyorsun(keepassxc gibi)
BursaliEfsane
Picopat
- Katılım
- 20 Nisan 2025
- Mesajlar
- 867
- Çözümler
- 2
Zihninde tutmak diye bir olay yok bunu unut en baştan. AHMET123 koymuyorsan bütün şifrelerini, öyle akılda tutmak falan hikaye. KiRlr4@swbq$&O*pt@6^ bak sana şimdi rastgele oluşturulmuş 20 karakterli bir şifre yazdım. Bu tarz bir şifreden kaç tane aklında tutabilirsin? Benim 100 farklı sitede şifrelerim var hepsi rastgele oluşturulmuş. 2025 yılında her siteye aynı şifreyi koymuyorsan akılda tutma işi komik duruyor. Uçtan uca şifrelemenin mantığını, nasıl çalıştığını bilmiyorsun ve ondan dolayı böyle konuşuyorsun. Bitwarden açık kaynaklı bir uygulama. Dünyanın 4 bir yanından kriptografi uzmanları kaynak kodlarını inceliyor. Veri tabanı hacklenemez mi? Elbette hacklenme ihtimali her zaman var. Ama burada devreye uçtan uca şifreleme giriyor işte. Boşuna mı söylüyoruz verilerin cihazından çıkmadan şifreleniyor diye.
Siz sadece veri saklamayı başkasının sunucuları olarak sanıyorsunuz. Mesela Keepass tamamen lokal de çalışan bir şifre yöneticisi. Verilerinin gittiği bir sunucu bile yok. Hadi bana nasıl güvensiz olduğunu anlat şimdi.
Bitwarden hakkında kaynağınızı merak ettim. Buyurun keeper hakkında iddianın sahibi olan tweeti bırakıyorum. Kendisi Johns Hapkins üniversitesinde kriptografi dersleri veriyor. Sİzin de iddia kaynağınızı merak ettim.
Yaşım kadar sektörde deneyimin olsaydı böyle yazılar yazmazdın. Bu konuda emin ol yaşın kadar araştırma yapmışımdır.
Kesinlikle, bakın 100 farklı sitede hesabınız varmış, hepsi de Bitwarden hizmetine teslim edilmiş değil mi? Yani tek bir şifrenin sızdırılması demek, o 100 şifrenin de sızdırılması demek
2FA masalını okumaya gerek yok, çok rahatlıkla bypass edilebildiğini bilmeyen yok sanırım. Hedef alınmanız yeterli.
Buraya cevap verme gereği bile duymuyorum.
Siz aynı şeyleri tekrar edip duruyorsunuz. 2FA masal, bulut depolama yalan falan filan. Yaşım kadar sektörde olsaydınız bu konuları çok iyi bilirdiniz.
@wraxos woo Kendisi zihinde tutmayı destekliyor.
Hani kağıt kalem veya bilgisayar da not defterine yazıyorum dese anlarım da zihinde tutmayı ilk defa biri bu denli savunduğunu gördüm. Kepass XC bilmiyordur zaten. Bütün şifre yöneticilerinin mantığını bulutta saklamak sanıyor kendisi. Şifresiz bir şekilde.
wraxos woo
Centipat
- Katılım
- 20 Mart 2025
- Mesajlar
- 3.158
- Makaleler
- 1
- Çözümler
- 18
Daha fazla
- Cinsiyet
- Erkek
Veri sızdırılabilir deyince şaşırdım zaten kendi cihazında Bitwarden 600.000 defa şifreliyor açık kaynak olduğundan bunu gerçekten yaptığınıda biliyoruz.
BursaliEfsane
Picopat
- Katılım
- 20 Nisan 2025
- Mesajlar
- 867
- Çözümler
- 2
Yahu yaşım kadar sektörde olan birisi zaten bu cümleleri kurmaz. Bu sektördeyse gitsin kaynak kodları açık incelesin kendisi rahatlıkla görebilir. Dünyanın dört bir yanından kriptografi uzmanları inceliyor bir sorun görmüyor ama arkadaş görmüş.
Ne diyelim sabah sabah iyi güldüm.
wraxos woo
Centipat
- Katılım
- 20 Mart 2025
- Mesajlar
- 3.158
- Makaleler
- 1
- Çözümler
- 18
Daha fazla
- Cinsiyet
- Erkek
Yahu yaşım kadar sektörde olan birisi zaten bu cümleleri kurmaz. Bu sektördeyse gitsin kaynak kodları açık incelesin kendisi rahatlıkla görebilir. Dünyanın dört bir yanından kriptografi uzmanları inceliyor bir sorun görmüyor ama arkadaş görmüş.
Şu konuda bende nasıl şifreliyor diye merak edip sormuştum bir arkadaş detaylıca açıklamıştı ona bakabilir merak edenler: Çözüldü: Bitwarden şifreleri bulutta depoluyor mu?
BursaliEfsane
Picopat
- Katılım
- 20 Nisan 2025
- Mesajlar
- 867
- Çözümler
- 2
Şifre yöneticilerinin yüz karası bir uygulama var adı Lastpass. Kendisi 2 veya 3 defa veri ihlaline uğradı kullanıcı kasaları sızdırıldı AMA bu kasalar şifreli olduğu için hackleyen kişiler bu kasalara erişemedi. Üstelik yanlış hatırlamıyorsam 10 bin kez hashleme standarttı o zamanlar. Şimdi Bitwarden varsayılan 600 bin hashleme yapıyor. İstersen bunu 1 milyona da çekebiliyorsun ayarlardan. Hatta daha güvenli olanı Argon2ID kullanabiliyorsun. Bugün hala daha Lastpass kullanıcılarının çoğunun kasaları çözülebilmiş değil.Bu işler o kadar kolay değil çünkü.
Bitwarden hacklenebilir elbette ancak olay uçtan uca şifreleme kısmında bitiyor zaten. Bu kasalar sunucular da şifreli şekilde saklanıyor.Hackleyen kişi şifreli kasalardan başka bir şey göremeyecek. Arkadaş bunu anlamak istemiyor. Sanıyor ki bitwarden hacklenirse herkesin şifrelerine kolayca erişilebilecek.
Daha fazla
- Cinsiyet
- Erkek
- Meslek
- Network/IT Security & Threat Specialist
Komik bir yorum olmuş, keza KDF + Salt metodu hakkında da zerre bilginiz olmadığını kanıtlamış oldunuz, teşekkür ederim. Zihinde tutmayı tüm şifreyi zihinde tutmayı sanıyorsanız, sektördeki bilginiz birkaç saatten fazla olamaz. Henüz KDF+Salt metodu hakkında bilginiz olmadan şifre yöneticileri hakkında fikir beyan ediyorsunuzZihninde tutmak diye bir olay yok bunu unut en baştan. AHMET123 koymuyorsan bütün şifrelerini, öyle akılda tutmak falan hikaye. KiRlr4@swbq$&O*pt@6^ bak sana şimdi rastgele oluşturulmuş 20 karakterli bir şifre yazdım. Bu tarz bir şifreden kaç tane aklında tutabilirsin? Benim 100 farklı sitede şifrelerim var hepsi rastgele oluşturulmuş. 2025 yılında her siteye aynı şifreyi koymuyorsan akılda tutma işi komik duruyor. Uçtan uca şifrelemenin mantığını, nasıl çalıştığını bilmiyorsun ve ondan dolayı böyle konuşuyorsun. Bitwarden açık kaynaklı bir uygulama. Dünyanın 4 bir yanından kriptografi uzmanları kaynak kodlarını inceliyor. Veri tabanı hacklenemez mi? Elbette hacklenme ihtimali her zaman var. Ama burada devreye uçtan uca şifreleme giriyor işte. Boşuna mı söylüyoruz verilerin cihazından çıkmadan şifreleniyor diye.
Basit: Keepass'in kurulu olduğu cihaz ağa bağlı mı?
Evet ise, her türlü saldırıya açık
Ağa bağlı herhangi bir cihazın her türlü saldırıya karşı her zaman riskli olduğunu bilmiyorsunuz sanırım. Data güvenliği önceliğiniz ise, datayı sakladığınız cihaz ya intranet içinde olacak ya da ağa bağlı olmayacak. Data security alanında özellikle enterprise için çalışan herhangi birisinin basitçe bilebileceği bir gerçek. Siber güvenliği YouTube üstünde öğrenenlerin bilme imkanı yok elbette.Yahu basit bir CVE araştırması bile yapmıyor/yapamıyorsunuz, burada Bitwarden ve genel anlamda şifre yöneticilerini savunuyorsunuz. Komik gerçekten. CVE hakkında bilginiz var mı, ne anlama geldiğini biliyor musunuz bilmiyorum ama, kaynak istediğiniz için bu zafiyetlerden sadece birinin linkini bırakıyorum.
NVD - CVE-2018-25081
nvd.nist.gov
Muhtemelen ne anlama da geldiğini bilmiyorsunuz, basitçe özetleyeyim. Autofill zafiyeti sebebiyle herhangi bir sitede plain text olarak mail, kullanıcı adı ve şifreyi dolduruyor.
Bakın siz şu Bitwarden'a yahu. Halbuki açık kaynaklıydı, zibilyon tane şifrelemesi vardı. Hiçbir şekilde sızdırılmazdı. Zihinde tutmaktan daha güvenliydi.
Demek ki şifrenin kırılmasına gerek yokmuş değil mi? Basit bir IFRAME zafiyeti ile domain bazlı şifre plain text olarak zahmetsizce yakalanabiliyormuş, anladınız mı?
Mutlaka araştırma yapmışsınızdır. Ona lafım yok. Deneyiminiz olduğunu siz de beyan etmiyorsunuz zaten. Sözümün arkasındayım, sektörde sıfır deneyiminiz, tonla araştırmanız var. Araştırmayla olsaydı bu iş, mezun olan her mühendis senior olarak başlardı
Bunlara yanıt vermeye gerek görmüyorum, üstte yazdıklarım gayet yeterli. Sektördeki tonla araştırmanızı bir gün deneyim ile desteklediğiniz vakit söylediklerinizi ciddiye alabilirim. Sevgiler.Siz aynı şeyleri tekrar edip duruyorsunuz. 2FA masal, bulut depolama yalan falan filan. Yaşım kadar sektörde olsaydınız bu konuları çok iyi bilirdiniz.
@wraxos woo Kendisi zihinde tutmayı destekliyor.
CVE kayıtları sizin için bir sorun ifade etmiyor olabilir, ama sektörde 1 gün dahi deneyimi olan herkes için CVE kayıtları kanıtlanmış zafiyet statüsündedir. Bilmiyor olabilirsiniz, söyleyeyim dedimYahu yaşım kadar sektörde olan birisi zaten bu cümleleri kurmaz. Bu sektördeyse gitsin kaynak kodları açık incelesin kendisi rahatlıkla görebilir. Dünyanın dört bir yanından kriptografi uzmanları inceliyor bir sorun görmüyor ama arkadaş görmüş.
Harika bir yorum. Keza 600 bin hashlemenin hiçbir anlam ifade etmediğini kendiniz kanıtladınız. Çok basit bir IFRAME zafiyeti ile, o 600 bin devasa hashleme için en ufak denemeye bile gerek kalmadı.Şifre yöneticilerinin yüz karası bir uygulama var adı Lastpass. Kendisi 2 veya 3 defa veri ihlaline uğradı kullanıcı kasaları sızdırıldı AMA bu kasalar şifreli olduğu için hackleyen kişiler bu kasalara erişemedi. Üstelik yanlış hatırlamıyorsam 10 bin kez hashleme standarttı o zamanlar. Şimdi Bitwarden varsayılan 600 bin hashleme yapıyor. İstersen bunu 1 milyona da çekebiliyorsun ayarlardan. Hatta daha güvenli olanı Argon2ID kullanabiliyorsun. Bugün hala daha Lastpass kullanıcılarının çoğunun kasaları çözülebilmiş değil.Bu işler o kadar kolay değil çünkü.
Siber güvenliğe tek düze bakıyorsunuz, yeni başlayanların en büyük hatası. Bir sistemin güvenliği ve zafiyet analizi tek bir noktadan yapılmaz. 10 milyon hashleme olan bir şifre yöneticisi geliştirelim birlikte, end to end encrypt olsun, 2FA olsun, military grade şifreleme olsun. IFRAME zafiyeti gibi domain specific basit bir zafiyet ile o 10 milyon hashlemenin hiçbir anlamı kalmıyor böylece.
Siber güvenlik kariyerinizde başarılar.
Ha bu arada, bahsi geçen zafiyet hala mevcut, sadece workaround yapılmış. Tetiklenmeyi bekliyor.
Autofill From Browser Extensions | Bitwarden
Learn how to autofill logins stored in the Bitwarden password manager from a browser extension.
Poor handling of connection portals in iframes: potential security vulnerability · Issue #5608 · bitwarden/clients
Steps To Reproduce You need to have an connection portal for an external site within an iframe. Here is an example where the current site is YouTube and the external site is Tournesol, a research p...
github.com
"Closed as not planned"
Bak sen şu bitwarden'a, kullanıcıyı bir dava etmediği kalmış.
Hayır hayır, mümkünse local ağda, dış ağdan izole şekilde çalışan bir sunucu best practice olur. Dış ağdan gelebilecek her türlü saldırıya otomatik kapalı konumda olur. Eğer KDF + Salt ile uğraşmayacaksanız en doğru metod bu. Diğeri hesaplamaya giriyor çünkü.
Son düzenleme:
Benzer konular
Bu konuyu görüntüleyen kullanıcılar
Technopat Haberler
Yeni konular
-
-
-
-
İnternet olmasına rağmen Windows uygulamaları interneti görmüyor- Yüksel Güven
- Mesaj: 2
-
-
-
-
-
-
Uncharted Hırsızlar Mirası Koleksiyonu vs Cyberpunk 2077
- madree456
- Mesaj: 11
-
-
-
