A Google Chrome böngészővel kapcsolatban gyakori kérdés: "miért nincs fő jelszó?" A Google (nem hivatalosan) azt az álláspontot képviselte, hogy a fő jelszó hamis biztonságérzetet nyújt, és az érzékeny adatok védelmének legéletképesebb formája a rendszer általános biztonsága.
Tehát pontosan mennyire biztonságosak a mentett jelszóadatok a Google Chrome-ban?
Mentett jelszavak megtekintése
A Chrome magában foglalja saját jelszókezelőjét, amely az Opciók> Személyes dolgok> Mentett jelszavak kezelése oldalon érhető el. Ez nem újdonság, és ha engedélyezi a Chrome-nak a jelszavak tárolását, akkor valószínűleg már tisztában van ezzel a funkcióval.
A kisebb biztonság kedves eleme, hogy először meg kell kattintania a megjelenítés gombra az egyes megnézni kívánt jelszavak mellett.
Bár nincs korlátozás a képernyő elérésére (azaz ha hozzáfér az asztalhoz, ahová a Chrome telepítve van, akkor elérheti a jelszavakat), az egyes jelszavak megtekintéséhez legalább felhasználói beavatkozás szükséges, anélkül, hogy tömegesen exportálná őket sima szöveges fájlba.
Hol tárolják a jelszóadatokat?
A mentett jelszóadatokat az itt található SQLite adatbázisban tároljuk:
% UserProfile% \ AppData \ Local \ Google \ Chrome \ User Data \ Default \ Login Data
Megnyithatja ezt a fájlt (a fájlnév csak „Bejelentkezés adatok”) az SQLite Database Browser használatával, és megtekintheti a „bejelentkezés” táblázatot, amely tartalmazza a mentett jelszavakat. Észre fogja venni, hogy a „password_value” mező nem olvasható, mert az érték titkosítva van.
Mennyire biztonságos a titkosított adat?
A titkosítás elvégzéséhez (Windows rendszeren) a Chrome egy Windows által biztosított API funkciót használ, amely a titkosított adatokat csak a jelszó titkosításához használt Windows felhasználói fiók által teszi megfejthetővé. Tehát lényegében a fő jelszó a Windows-fiók jelszava. Ennek eredményeként, miután bejelentkezett a Windows rendszerbe a fiókjával, ezeket az adatokat a Chrome megfejtheti.
Mivel azonban a Windows-fiók jelszava állandó, a „fő jelszóhoz” való hozzáférés nem kizárólagos a Chrome számára, mivel a külső segédprogramok is hozzáférhetnek ezekhez az adatokhoz - és visszafejtik azokat. A NirSoft által ingyenesen elérhető ChromePass segédprogrammal megtekintheti az összes mentett jelszóadatot, és egyszerűen exportálhatja azt egy egyszerű szöveges fájlba.
Tehát van értelme, hogy ha a ChromePass segédprogram hozzáférhet ezekhez az adatokhoz, akkor az adott felhasználóként futó rosszindulatú programok is hozzáférhetnek hozzájuk. Amikor az A ChromePass.exe a VirusTotal webhelyre van feltöltve , az antivírus motorok alig több mint fele veszélyesnek tartja. Bár ebben az esetben a segédprogram biztonságos, kissé megnyugtató látni, hogy ezt a viselkedést legkevésbé sok AV csomag jelzi (bár a Microsoft Security Essentials nem tartozik azon AV motorok közé, amelyek veszélyesnek jelentették).
Megkerülhető-e a védelem?
Tegyük fel, hogy a számítógépét ellopták és a tolvajt visszaállítja a Windows jelszavát natív módon bejelentkezni a telepítésbe. Ha később megpróbálják megtekinteni a jelszavakat a Chrome-ban, vagy a ChromePass segédprogramot használják, akkor a jelszóadatok nem állnak rendelkezésre. Az ok egyszerű, mivel a „fő jelszó” (amely a Windows-fiók jelszavának számított, mielőtt erőteljesen visszaállította azt a Windowson kívül) nem egyezik, így a visszafejtés sikertelen.
Ezenkívül, ha valaki egyszerűen másolja a Chrome jelszóval rendelkező SQLite adatbázis fájlt, és megpróbálja elérni azt egy másik számítógépen, a ChromePass üres jelszavakat jelenít meg a fentiekben ismertetett okból.
Következtetés
A nap végén a Chrome-ba mentett jelszavak biztonsága teljesen függ a felhasználótól:
- Használjon nagyon erős Windows-fiók jelszót. Ne feledje, vannak segédprogramok, amelyek képesek megfejteni a Windows jelszavakat . Ha valaki megkapja a Windows-fiók jelszavát, akkor hozzáférhet a böngésző mentett jelszavaihoz.
- Védje meg magát a rosszindulatú programokkal szemben. Ha a segédprogramok könnyen hozzáférhetnek a mentett jelszavakhoz, miért nem tudnak rosszindulatú programok?
- Mentse a jelszavakat egy jelszókezelő rendszerbe, például a KeePass-ba. Természetesen elveszíti annak kényelmét, hogy a böngésző automatikusan kitölti a jelszavakat.
- Használjon egy harmadik fél segédprogramot, amely integrálódik a Chrome-ba, és fő jelszóval kezeli a jelszavakat.
- Titkosítsa a teljes merevlemezt a TrueCrypt használatával. Ez teljesen opcionális és az ultravédő, de ha valaki nem tudja visszafejteni a meghajtót, akkor biztosan nem tud belőle semmit sem szerezni.
A lényeg egyszerűen a rendszer biztonságának megőrzése, és a Chrome jelszavainak is ésszerűen biztonságosnak kell lenniük.
