שמירת הסיסמאות בדפדפן האינטרנט שלך נראית חוסכת זמן נהדרת, אך האם הסיסמאות מאובטחות ואינן נגישות לאחרים (אפילו עובדים של חברת הדפדפנים) כאשר הם מתפתלים?
מושב השאלות והתשובות של היום מגיע אלינו באדיבות SuperUser - חלוקה של Stack Exchange, קיבוץ מונחה קהילה של אתרי שאלות ותשובות.
השאלה
קורא ה- SuperUser MMA סקרן אם לעובדי גוגל יש גישה (או יכולה להיות להם) לסיסמאות שהוא שומר ב- Google Chrome:
אני מבין שאנחנו ממש מתפתים לשמור את הסיסמאות שלך ב- Google Chrome. היתרון הסביר הוא פי שניים,
- אינך צריך (לשנן ו) להזין סיסמאות ארוכות ומוצפנות אלה.
- אלה זמינים בכל מקום שאתה נמצא ברגע שאתה מתחבר לחשבון Google שלך.
הנקודה האחרונה עוררה את ספקי. מכיוון שהסיסמה זמינה בְּכָל מָקוֹם , האחסון חייב במיקום מרכזי כלשהו, וזה צריך להיות בגוגל.
כעת, השאלה הפשוטה שלי היא, האם עובד בגוגל יכול לראות את הסיסמאות שלי?
חיפוש באינטרנט חשף מספר מאמרים / הודעות.
- האם אתה שומר סיסמאות ב- Chrome? אולי כדאי לך לשקול מחדש : מדבר על הסיסמאות שלך שנגנבו על ידי מישהו שיש לו גישה לחשבון המחשב שלך. שום דבר לא הוזכר לגבי אבטחת האחסון המרכזית ופגיעותה. יש אפילו תגובה מההובלה הטכנולוגית של דפדפן Chrome לגבי הנושא הראשון.
- אסטרטגיית אבטחת הסיסמאות המטורפת של Chrome : בעיקר באותו קו. אתה יכול לגנוב סיסמה ממישהו אם יש לך גישה לחשבון המחשב.
- כיצד לגנוב סיסמאות שנשמרו בגוגל כרום בחמישה שלבים פשוטים : מלמד אותך כיצד לבצע את פעולה שהוזכר בשני הקודמים כאשר יש לך גישה לחשבון של מישהו אחר.
יש הרבה יותר (כולל זֶה בְּ- האתר הזה ), בעיקר באותו קו, נקודות, נקודות נגד, ויכוחים ענקיים. אני נמנע מלהזכיר אותם כאן, פשוט לבצע חיפוש אם אתה רוצה למצוא אותם.
אם נחזור לשאילתה המקורית שלי, האם עובד בגוגל יכול לראות את הסיסמה שלי? מכיוון שאני יכול להציג את הסיסמה באמצעות כפתור פשוט, בהחלט ניתן לבטל את פגיעתם (לפענוח) גם אם היא מוצפנת. זה שונה מאוד מהסיסמאות שנשמרו במערכות הפעלה דומות ליוניקס, שם הסיסמה השמורה לעולם לא נראית בטקסט רגיל.
הם משתמשים באלגוריתם הצפנה חד כיווני להצפנת הסיסמאות שלך. סיסמה מוצפנת זו נשמרת בקובץ passwd או בצל. כשאתה מנסה להתחבר, הסיסמה שאתה מקליד מוצפנת שוב ומושווה לערך בקובץ המאחסן את הסיסמאות שלך. אם הם תואמים, זו חייבת להיות אותה סיסמה, ומותרת לך גישה. לפיכך, משתמש-על יכול לשנות את הסיסמה שלי, יכול לחסום את חשבוני, אך הוא לעולם אינו יכול לראות את הסיסמה שלי.
אז האם הדאגות שלו מבוססות או שמא תובנה קטנה תפזר את דאגתו?
התשובה
תורם SuperUser Zeel עוזר להניח את דעתו:
תשובה קצרה: לא *
סיסמאות המאוחסנות במחשב המקומי שלך יכולות להיות מפוענחות על ידי Chrome, כל עוד חשבון המשתמש שלך במערכת ההפעלה מחובר. ואז תוכל להציג אותן בטקסט רגיל. בהתחלה זה נראה נורא, אבל איך חשבת שמילוי אוטומטי עובד? כאשר שדה הסיסמה הזה מתמלא, Chrome חייב להכניס את הסיסמה האמיתית לרכיב הטופס HTML - אחרת הדף לא יעבוד כמו שצריך, ולא תוכל לשלוח את הטופס. ואם החיבור לאתר אינו עובר HTTPS, הטקסט הרגיל נשלח דרך האינטרנט. במילים אחרות, אם כרום לא יכול לקבל את סיסמאות הטקסט הרגיל, אז הם חסרי תועלת לחלוטין. חשיש חד כיווני אינו טוב, כי עלינו להשתמש בהם.
כעת הסיסמאות מוצפנות למעשה, הדרך היחידה להחזיר אותן לטקסט רגיל היא לקבל את מפתח הפענוח. מפתח זה הוא סיסמת Google שלך, או מפתח משני שתוכל להגדיר. כאשר אתה נכנס ל- Chrome ומסנכרן שרתי Google ישדרו את ה- מוצפן סיסמאות, הגדרות, סימניות, מילוי אוטומטי וכו 'למכונה המקומית שלך. כאן Chrome יפענח את המידע ויוכל להשתמש בו.
בסוף גוגל כל המידע הזה מאוחסן במצב הצפוי, ואין להם את המפתח לפענוחו. סיסמת החשבון שלך נבדקת מול hash כדי להיכנס לגוגל, וגם אם אתה נותן ל- Chrome לזכור זאת, אותה גרסה מוצפנת מוסתרת באותה חבילה כמו הסיסמאות האחרות, שאי אפשר לגשת אליה. כך שככל הנראה עובד יכול לתפוס זריקה של הנתונים המוצפנים, אך זה לא יעזור להם טוב מכיוון שלא תהיה להם שום דרך להשתמש בהם. *
אז לא, עובדי גוגל לא יכולים ** לגשת לסיסמאות שלך מכיוון שהן מוצפנות בשרתים שלהן.
* עם זאת, אל תשכח כי כל מערכת שאליה ניתן לגשת על ידי משתמש מורשה ניתנת לגישה על ידי משתמש לא מורשה. מערכות מסוימות קלות יותר לשבירה מאשר אחרות, אך אף אחת מהן איננה הוכחת כשלים. . . עם זאת, אני חושב שאאמין לגוגל ולמיליונים שהם מוציאים על מערכות אבטחה, על כל פתרון אחר לאחסון סיסמאות. ולעזאזל, אני חנון קלוש, יהיה קל יותר להכות את הסיסמאות ממני מאשר לשבור את ההצפנה של גוגל.
** אני גם מניח שאין אדם שבמקרה עובד אצל גוגל שיקבל גישה למכונה המקומית שלך. במקרה כזה אתה דפוק, אך תעסוקה בגוגל אינה למעשה גורם נוסף. מוסרי: הכה לנצח + ל לפני שעוזבים את המכונה.
למרות שאנחנו מסכימים עם Zel שזה הימור די בטוח (כל עוד המחשב שלך לא נפגע) שהסיסמאות שלך למעשה בטוחות בזמן שמירתן ב- Chrome, אנו מעדיפים להצפין את כל הכניסות והסיסמאות שלנו בתוך קמרון LastPass .
יש לך מה להוסיף להסבר? נשמע בתגובות. רוצה לקרוא תשובות נוספות ממשתמשי Stack Exchange אחרים המתמצאים בטכנולוגיה? עיין כאן בשרשור הדיון המלא .
