Bezpečnostní analýza programu Passbolt

Abstract

Tato práce se zabývá problematikou hesel a jejich bezpečným ukládáním za použití správců hesel. Zároveň poskytuje stručný přehled současných správců hesel se zaměřením na bezpečnostní funkcionality a jejich vzájemné porovnání. Práce zpracovává bezpečnostní analýzu správce hesel Passbolt, který se zaměřuje na podporu týmové spolupráce a sdílení hesel. Potenciálně riziková místa jsou hlouběji zkoumána přímo ve zdrojovém kódu aplikace. Analýza zahrnuje také monitorování a následný průzkum síťového provozu. Během analýzy nebyla nalezena žádná zranitelnost přímo ohrožující utajení či integritu ukládaných dat. Analýza nicméně objevila několik situací, které jistým způsobem mohou vést ke snížení bezpečnosti nebo i k úplné kompromitaci účtu uživatele. Po vyhodnocení závažnosti jednotlivých nálezů jsou navržena možná opatření k eliminaci těchto zranitelností.This work focuses on password management and secure password storage using password managers. It also provides a brief overview of current password managers, focusing on security features and their comparison. The aim of this work is to perform a security analysis of the selected password manager Passbolt, which was designed to support team collaboration and password sharing. The potentially risky places found are further examined directly in the application's source code. The analysis also includes monitoring and subsequent network traffic exploration. During the analysis, no vulnerability directly endangering the confidentiality or integrity of the stored data was found. However, the analysis has identified several situations that may in some ways lead to a reduction of security or even a complete compromise of the user's account. After evaluating the severity of each finding, possible measures to eliminate these vulnerabilities are suggested.