TOC
Histórico
A minha história com o Whisper32 é longa data. O aplicativo iniciou com versão do Windows 95 e continua a funcionar no Windows 11. Ele é um simples gerenciador de senhas gratuito. Não armazena os dados em nuvem e tem seu próprio mecanismo de criptografia.
Whisper 32 é um programa que pode ser facilmente carregado no pendrive, não precisa de configuração ou instalação no computador. Basicamente ele cria uma estrutura de armazenamento protegida com senha. Funciona semelhante a outros diversos aplicativos dessa categoria.
Tecnicamente, sem o conhecimento da senha que protege o arquivo com terminação .wsp, ele não pode ser carregado, pois está criptografado. A chamada criptografia simetrica onde voce usa a mesma senha para criptografar e descriptografar, não é a forma mais segura de proteger um arquivo mesmo que o algoritmo utilizado para codificar os dados seja o melhor do mundo.
Devido a demanda de um amigo que esqueceu a senha, procurei na Internet por alguma falha e encontrei uma maneira trivial de descobrir a senha de acesso. Essa falha já foi relatada há anos atrás portanto não é nenhuma novidade. Detalhes sobre a vulnerabilidade foi publicada em CVE-2005-2664.
Mas fiquei surpreso com a facilidade de acesso usando como ferramenta somente o gerenciador de tarefas e bloco de notas do Windows.
Para obter a senha de acesso é necessário seguir os seguintes passos:
- Executar o whisper32 e abrir o arquivo .wsp que voce deseja descobrir a senha.
- Abrir o gerenciador de tarefas do Windows.
- Procurar no gerenciador de tarefas pelo processo Whisper 32 e clicar com o botão da direita sobre o nome do programa.
- Selecionar a opção criar arquivo de dump de memória. Automaticamente o Windows cria o arquivo C:\Windows\Temp\Whisper.DMP com uma cópia da memória usada pelo whisper32.
- Executar o Bloco de Notas e carregar o arquivo C:\Windows\Temp\Whisper.DMP no Bloco de Notas.
- Pesquisar pela nome que armazenou as senhas, por exemplo: “\minhassenhas.wsp”. Na primeira ocorrência da pesquisa e antes do caminho do diretório tem a senha em formato TEXTO. Não se preocupe com os caracteres não visiveis ou não ASCII.
Documentos
Links
Agapov Alexey Whisper32 Plaintext Password Disclosure Vulnerability
CVEDETAILS Whisper32 1.16 : Security Vulnerabilities
Perguntas Mais Frequentes
- É seguro usar qualquer aplicativo de gerenciador de senhas? Não existe uma solução 100% segura mas você pode minimizar os riscos. Soluções que usem somente uma base local, tenha suporte e atualizações e usem um algoritmo de criptografia forte como AES. Melhor se o aplicativo puder ser armazenado em um pendrive e guardado em um local seguro (armazenar senhas no celular mesmo que teoricamente protegido é uma péssima ideia).