En vanlig fråga om Google Chrome-webbläsaren är "varför finns det inte ett huvudlösenord?" Google har (inofficiellt) intog ståndpunkten att ett huvudlösenord ger en falsk känsla av säkerhet och den mest lönsamma formen av skydd för denna känsliga data är genom övergripande systemsäkerhet.
Så exakt hur säker är dina sparade lösenordsdata i Google Chrome?
Visa sparade lösenord
Chrome innehåller sin egen lösenordshanterare som är tillgänglig via Alternativ> Personliga saker> Hantera sparade lösenord. Det här är inget nytt och om du tillåter att Chrome lagrar lösenord är du förmodligen redan medveten om den här funktionen.
En fin touch av mindre säkerhet är att du först måste klicka på Visa-knappen bredvid varje lösenord du vill visa.
Även om det inte finns någon begränsning för att komma åt den här skärmen (dvs. om du har tillgång till skrivbordet där Chrome är installerat kan du komma till lösenorden), krävs åtminstone användarinterventioner för att visa varje lösenord utan att exportera dem i bulk till en vanlig textfil.
Var lagras lösenordsdata?
De sparade lösenordsdata lagras i en SQLite-databas som finns här:
% UserProfile% \ AppData \ Local \ Google \ Chrome \ User Data \ Standard \ Login Data
Du kan öppna den här filen (filnamnet är bara "Inloggningsdata") med hjälp av SQLite Database Browser och visa "inloggningstabellen" som innehåller de sparade lösenorden. Du kommer att märka att fältet "password_value" är oläsligt eftersom värdet är krypterat.
Hur säker är krypterad data?
För att utföra krypteringen (på Windows) använder Chrome en Windows-tillhandahållen API-funktion som gör att krypterad data endast kan avkodas av Windows-användarkontot som används för att kryptera lösenordet. Så i grund och botten är ditt huvudlösenord ditt Windows-lösenord. Som ett resultat, när du är inloggad på Windows med ditt konto kan dessa data avkrypteras av Chrome.
Men eftersom ditt Windows-kontolösenord är konstant är åtkomst till "huvudlösenordet" inte exklusivt för Chrome eftersom externa verktyg kan komma till dessa data - och dekryptera det - också. Med det fritt tillgängliga verktyget ChromePass från NirSoft kan du se alla dina sparade lösenordsdata och enkelt exportera den till en vanlig textfil.
Så det är vettigt att om ChromePass-verktyget kan komma åt dessa data, kan skadlig programvara som körs som respektive användare också få tillgång till den. När ChromePass.exe laddas upp till VirusTotal , drygt hälften av antivirusmotorerna betecknar det som farligt. Medan i det här fallet verktyget är säkert är det lite lugnande att se att detta beteende åtminstone flaggas av många AV-paket (även om Microsoft Security Essentials inte är en av AV-motorerna som rapporterade det som farligt).
Kan skyddet kringgås?
Anta att din dator är stulen och tjuven återställer ditt Windows-lösenord för att logga in på din installation. Om de senare skulle försöka visa lösenorden i Chrome eller använda ChromePass-verktyget skulle lösenordsdata inte vara tillgängliga. Anledningen är enkel eftersom ”huvudlösenordet” (som var ditt Windows-kontolösenord innan de kraftigt återställde det utanför Windows) inte matchar så att dekrypteringen misslyckas.
Dessutom, om någon helt enkelt skulle kopiera Chrome-lösenordets SQLite-databasfil och försöka komma åt den på en annan dator, skulle ChromePass visa tomma lösenord av samma anledning som förklarats ovan.
Slutsats
I slutet av dagen beror säkerheten för de Chrome-sparade lösenorden helt på användaren:
- Använd ett mycket starkt Windows-lösenord. Tänk på att det finns verktyg som kan dechiffrera Windows-lösenord . Om någon får ditt Windows-kontolösenord har de tillgång till dina sparade webbläsarlösenord.
- Skydda dig mot skadlig kod. Om verktyg enkelt kan komma åt dina sparade lösenord, varför kan inte skadlig kod?
- Spara dina lösenord i ett lösenordshanteringssystem som KeePass. Naturligtvis tappar du bekvämligheten med att webbläsaren automatiskt fyller i dina lösenord.
- Använd ett tredjepartsverktyg som integreras med Chrome och använder ett huvudlösenord för att hantera dina lösenord.
- Kryptera hela hårddisken med TrueCrypt. Det här är helt frivilligt och för det extremt skyddande, men om någon inte kan dekryptera din enhet kan de säkert inte ta bort något av det.
Slutsatsen är helt enkelt att hålla ditt system säkert och dina Chrome-lösenord bör också vara rimligt säkra.
