Běžnou otázkou ohledně prohlížeče Google Chrome je „proč neexistuje hlavní heslo?“ Google má (neoficiálně) zaujal stanovisko, že hlavní heslo poskytuje falešný pocit bezpečí a nejschopnější formou ochrany těchto citlivých dat je celkové zabezpečení systému.
Jak přesně jsou vaše uložená data hesla v Google Chrome zabezpečená?
Zobrazení uložených hesel
Chrome obsahuje vlastního správce hesel, který je přístupný přes Možnosti> Osobní položky> Správa uložených hesel. Není to nic nového a pokud povolíte prohlížeči Chrome ukládat vaše hesla, pravděpodobně už tuto funkci znáte.
Pěkným dotekem menšího zabezpečení je, že musíte nejprve kliknout na tlačítko Zobrazit vedle každého hesla, které chcete zobrazit.
I když pro přístup na tuto obrazovku neexistuje žádné omezení (tj. Pokud máte přístup k pracovní ploše, kde je nainstalován Chrome, můžete se k heslům dostat), je zde alespoň zásah uživatele, aby bylo možné zobrazit každé heslo bez možnosti hromadného exportu do souboru prostého textu.
Kde jsou uložena data hesla?
Uložená data hesla jsou uložena v databázi SQLite umístěné zde:
% UserProfile% \ AppData \ Local \ Google \ Chrome \ User Data \ Default \ Login Data
Tento soubor můžete otevřít (název souboru je pouze „Přihlašovací údaje“) pomocí prohlížeče databáze SQLite a zobrazit tabulku „přihlášení“, která obsahuje uložená hesla. Zjistíte, že pole „password_value“ je nečitelné, protože hodnota je šifrována.
Jak bezpečná jsou šifrovaná data?
K provedení šifrování (ve Windows) používá Chrome funkci API poskytovanou Windows, díky níž jsou šifrovaná data dešifrovatelná pouze uživatelským účtem Windows, který se používá k šifrování hesla. Takže v zásadě je vaše hlavní heslo heslo k účtu Windows. Výsledkem je, že jakmile se přihlásíte do systému Windows pomocí svého účtu, bude tato data Chrome dešifrovat.
Protože je však heslo vašeho účtu Windows konstantní, přístup k „hlavnímu heslu“ není pro Chrome výlučný, protože k těmto datům se mohou dostat - a dešifrovat - také externí nástroje. Pomocí volně dostupného nástroje ChromePass od společnosti NirSoft můžete zobrazit všechna uložená data hesel a snadno je exportovat do prostého textového souboru.
Dává tedy smysl, že pokud nástroj ChromePass může přistupovat k těmto datům, může k nim přistupovat také malware spuštěný jako příslušný uživatel. Když ChromePass.exe se nahraje do VirusTotal , jen něco málo přes polovinu antivirových modulů to označuje jako nebezpečné. I když je v tomto případě nástroj bezpečný, je trochu uklidňující vidět, že toto chování je přinejmenším označeno mnoha AV balíčky (ačkoli Microsoft Security Essentials není jedním z motorů AV, který jej označil jako nebezpečný).
Lze ochranu obejít?
Předpokládejme, že váš počítač je ukraden a zloděj resetuje heslo systému Windows za účelem nativního přihlášení k vaší instalaci. Pokud by se následně pokusili zobrazit hesla v prohlížeči Chrome nebo použít nástroj ChromePass, data o heslech nebudou k dispozici. Důvod je jednoduchý, protože „hlavní heslo“ (což bylo heslo k vašemu účtu Windows před tím, než jej násilně resetovali mimo Windows) se neshoduje, takže dešifrování selže.
Navíc, pokud by někdo jednoduše zkopíroval databázový soubor SQLite s heslem Chrome a pokusil se o přístup na jiném počítači, ChromePass by zobrazil prázdná hesla ze stejného důvodu, jak je vysvětleno výše.
Závěr
Na konci dne zabezpečení hesel uložených v Chromu zcela závisí na uživateli:
- Použijte velmi silné heslo k účtu Windows. Mějte na paměti, že existují nástroje, které mohou dešifrovat hesla systému Windows . Pokud někdo dostane heslo k vašemu účtu Windows, má přístup k vašim uloženým heslům prohlížeče.
- Chraňte se před malwarem. Pokud nástroje mají snadný přístup k uloženým heslům, proč nemůže malware?
- Uložte si hesla do systému pro správu hesel, jako je KeePass. Samozřejmě přijdete o to, že prohlížeč automaticky vyplní vaše hesla.
- Použijte nástroj třetí strany, který se integruje do prohlížeče Chrome a ke správě hesel používá hlavní heslo.
- Šifrujte celý svůj pevný disk pomocí TrueCrypt. To je zcela volitelné a pro ultra ochrannou, ale pokud někdo nemůže dešifrovat váš disk, určitě z toho nemůže mít nic.
Sečteno a podtrženo, je to jednoduše proto, aby byl váš systém zabezpečen a hesla Chrome by měla být také dostatečně zabezpečená.
