F'Ġunju 2026, tliet avvenimenti reġgħu fetħu d-dibattitu dwar il-garanziji reali tal-maniġers « zero-knowledge »: studju akkademiku ta' ETH Zurich u Aalto University jimmappja 25 attakk sfruttabbli jekk is-server jiġi kompromess, tnixxija f'LastPass tgħaddi minn CRM ta' parti terza, u riċerkatur ta' DEF CON 33 juri d-dirottament tal-autofill permezz tal-clickjacking. Hawn l-impatt konkret ta' dawn it-tliet avvenimenti fuq l-arkitettura ARDNTECH, mingħajr retorika tal-marketing.
Ippubblikat fit-23 ta' Ġunju 2026 minn ARDNTECH EI · Analiżi interna mill-iżvelar pubbliku
Serq ta' tokens OAuth f'Klue (għodda ta' intelliġenza kummerċjali integrata ma' Salesforce) ippermetta aċċess għad-data tal-kuntatt tal-klijenti ta' LastPass. Il-vaults iċċifrati ma ġewx esposti. Ir-riskju reali huwa l-phishing immirat minn lista ta' kuntatti misruqa minn subkuntrattur periferali, mhux il-kompromess tan-nukleu kriptografiku.
Tagħlima : iz-zero-knowledge jipproteġi l-vaults, mhux il-metadata miżmuma minn partijiet terzi.
Matteo Scarlata u l-koawturi tiegħu (mxerrda minn Ars Technica) jimmappjaw 25 attakk li juru li l-garanziji « zero-knowledge » ta' Bitwarden, Dashlane u LastPass jiddegradaw jekk is-server jiġi kompromess u jekk ċerti funzjonijiet opt-in ikunu attivi: irkupru tal-kont, kondiviżjoni permezz tad-distribuzzjoni ta' ċwievet pubbliċi, kompatibbiltà retrospettiva kriptografika (downgrade KDF).
Tagħlima : ZK formalment korrett irid jirreżisti x-xenarju ta' server kompromess, mhux biss amministratur onest.
Marek Tóth juri li l-autofill ta' 11-il maniġer jista' jiġi attivat minn overlay inviżibbli. Klikk wieħed fuq banner falz tal-cookies huwa biżżejjed biex jimla l-oqsma ta' paġna kkontrollata mill-attakkant. Il-wiċċ milqut huwa l-loġika tal-injezzjoni DOM tal-estensjoni, mhux il-vault tas-server.
Tagħlima : l-estensjoni tal-browser hija wiċċ ta' attakk distint mis-server, li għandu jissaħħaħ b'mod indipendenti.
L-istudju jimmira tliet familji ta' funzjonijiet li, fuq server kompromess, idgħajfu l-garanziji ZK. Hawn il-korrispondenza tagħhom fl-arkitettura ARDNTECH.
| Vettur tal-istudju | Arkitettura ARDNTECH | Verdett |
|---|---|---|
|
Irkupru tal-kont
Kopja taċ-ċavetta tal-vault maħżuna fuq in-naħa tas-server, użabbli jekk is-server jiġi kompromess |
Il-wrap huwa prodott fuq in-naħa tal-klijent (Argon2id) minn kodiċi ta' rkupru li jippossjedi biss l-utent. Is-server jaħżen wraps opaki: ma jistax jidderiva mill-ġdid iċ-ċavetta. Konsum bi scrub immedjat. | Tajjeb |
|
Downgrade kriptografiku
Iġġiegħel klijent juża algoritmu aktar dgħajjef waqt il-wrap tal-irkupru |
Imblukkat fuq in-naħa tas-server: komponent ta' spezzjoni janalizza l-armatura reali (SKESK v6, S2K Argon2id, AEAD preżenti, kostijiet minimi). Klijent imbagħbas li jagħmel downgrade jiġi rifjutat u mġiegħel jerġa' jattiva. | Newtralizzat |
|
Sostituzzjoni taċ-ċavetta pubblika waqt il-kondiviżjoni
Is-server jservi ċ-ċavetta tiegħu stess minflok dik tar-riċevitur |
Is-server jesponi ċ-ċavetta pubblika + il-marka tas-saba' tar-riċevitur. Korrezzjoni ta' Ġunju 2026 (repo tal-estensjonijiet) tkopri l-verifika fuq in-naħa tal-klijent. Punt residwu: jiġi żgurat li bidla fiċ-ċavetta ta' kuntatt magħruf tqanqal twissija espliċita. | Qed tiġi vverifikata |
|
Ċwievet ta' rkupru tal-admin (tip LastPass)
Amministratur ta' grupp jista' jerġa' jiċċifra l-vault ta' utent fuq in-naħa tas-server |
ARDNTECH m'għandux mekkaniżmu « break-glass admin » fuq in-naħa tas-server li jerġa' jiċċifra ċ-ċavetta tal-vault ta' utent lejn ċavetta tal-admin. Il-kondiviżjoni tat-tim tgħaddi biss miċ-ċavetta pubblika tat-tim u l-marka tas-saba' tagħha. | Tajjeb mid-disinn |
Sinteżi : server ARDNTECH kompromess ma jippermettix li jiġu deċifrati l-wraps tal-irkupru - huma opaki, dderivati fuq in-naħa tal-klijent minn sigriet li s-server ma jippossjedix, u d-downgrade KDF jiġi rifjutat fir-reġistrazzjoni. Dawn huma preċiżament ix-xenarji sfruttati f'maniġers oħra mill-istudju ETH/Aalto. Huma magħluqa hawn permezz ta' għażliet arkitetturali dokumentati fil-mudell tat-theddida.
Ir-riċerka ta' Tóth timmira l-loġika tal-injezzjoni DOM tal-estensjonijiet. L-autofill u l-autologin huma l-uċuħ ikkonċernati. Il-vault tas-server mhuwiex involut - hija l-estensjoni li timla l-oqsma li tista' tiġi ingannata. Il-punti li ġejjin qed jiġu vverifikati fl-estensjoni ARDNTECH.
visibility:hidden, daqs qrib iż-żero jew element mgħotti (hit-testing tal-punt tal-klikk).window.top === window.self jew l-istess oriġini.z-index kontrollat, verifika mill-ġdid tal-viżibbiltà fil-mument tal-klikk.Nukleu kriptografiku tajjeb jista' jiġi evitat permezz tal-stack SaaS periferali. Il-vaults ta' LastPass ma ċċaqalqux, iżda lista ta' kuntatti nsterqet minn integratur CRM ta' parti terza.
Is-subkuntratturi attwali ta' ARDNTECH (Scaleway, Brevo, Stancer, HIBP, Bugsink) huma definiti fir-reġistru ppubblikat fuq il-paġna Fiduċja. Iz-zero-knowledge jipproteġi l-vaults, mhux lista ta' kuntatti f'CRM ta' parti terza mhux irreġistrat.
Rotazzjoni tat-tokens tal-integrazzjonijiet ta' partijiet terzi, scopes minimi, revoka immedjata f'każ ta' inċident. L-aċċess għas-sistemi periferali m'għandux jippermetti li tiġi rikostitwita mappa tal-klijenti.
Zero-knowledge verifikabbli, ospitat fi Franza, kodiċi tas-sors AGPLv3. Il-beta privata hija aċċessibbli mar-reġistrazzjoni.