หนึ่งในเบราว์เซอร์เครื่องมือที่สะดวกที่สุดคือความสามารถในการบันทึกและกรอกรหัสผ่านล่วงหน้าโดยอัตโนมัติในแบบฟอร์มการเข้าสู่ระบบ เนื่องจากไซต์จำนวนมากจำเป็นต้องมีบัญชีและเป็นที่ทราบกันดี (หรืออย่างน้อยก็ควรจะเป็น) ว่าการใช้รหัสผ่านที่ใช้ร่วมกันเป็นเรื่องที่ไม่ต้องทำอะไรมากตัวจัดการรหัสผ่านจึงเป็นสิ่งสำคัญ
ดังนั้นหากคุณเป็นผู้ใช้ IE และตอบว่า“ ใช่” เพื่อให้เบราว์เซอร์จำรหัสผ่านของคุณข้อมูลนี้จะปลอดภัยแค่ไหน?
พวกเขาถูกบันทึกไว้ที่ไหน?
เริ่มต้นที่ Internet Explorer 7 รหัสผ่านจะถูกเก็บไว้ในรีจิสทรีของระบบ (KEY_CURRENT_USER \ Software \ Microsoft \ Internet Explorer \ IntelliForms \ Storage2) และเข้ารหัสกับรหัสผ่านเข้าสู่ระบบของผู้ใช้ Windows โดยใช้ Data Protection API ซึ่งใช้การเข้ารหัส Triple DES
ข้อมูลนี้ปลอดภัยแค่ไหน?
ในขณะที่เขียนเรื่องนี้ Triple DES นั้นไม่สามารถแตกหักได้จริงด้วยวิธีการบังคับแบบเดรัจฉาน อย่างไรก็ตามคุณไม่จำเป็นต้องบังคับให้เข้ารหัสลับเมื่อคุณลงชื่อเข้าใช้บัญชี Windows ซึ่งข้อมูลรหัสผ่านของคุณจะถูกเก็บไว้เนื่องจาก Windows ตั้งสมมติฐานว่าเมื่อเข้าสู่ระบบแล้วแอปพลิเคชันจะเข้าถึงข้อมูลนี้ได้อย่างปลอดภัย อันเป็นผลมาจาก IE ไม่ใช้รหัสผ่านหลัก (เช่นสิ่งที่ Firefox เสนอ) เพื่อปกป้องรหัสผ่านที่บันทึกไว้รหัสผ่านบัญชี Windows ตามลำดับคือคีย์ถอดรหัส Triple DES
พูดง่ายๆว่าถ้าคุณสามารถเข้าสู่ระบบ Windows ด้วยบัญชีและรหัสผ่านคุณจะเห็นรหัสผ่านเบราว์เซอร์ที่บันทึกไว้ การใช้ยูทิลิตี้ที่มีให้ใช้งานฟรีเช่น IE PassView ของ NirSoft คุณสามารถดูและส่งออกรหัสผ่าน IE ที่บันทึกไว้ทั้งหมด
มัลแวร์สามารถเข้าถึงสิ่งนี้ได้หรือไม่?
หลังจากเห็นว่าการเข้าถึงข้อมูลนี้ง่ายเพียงใดคำถามเชิงตรรกะต่อไปคือมัลแวร์สามารถเข้าถึงข้อมูลนี้ได้อย่างง่ายดาย ฉันไม่ใช่นักพัฒนามัลแวร์ แต่ไม่เห็นเหตุผลใด ๆ ที่ทำไม่ได้ หากฉันสแกนยูทิลิตี้ IE PassView โดยใช้ Virus Total คุณจะเห็น 55% ของเครื่องสแกนที่ใช้ตรวจพบว่าเป็นมัลแวร์ (ซึ่งหนึ่งในนั้นคือ Security Essentials)
แม้ว่าในกรณีของเราผลลัพธ์จะเป็นผลบวกที่ผิดพลาด แต่ก็แสดงให้เห็นว่ามีความเป็นไปได้ที่มัลแวร์ส่วนหนึ่งจะเข้าถึงข้อมูลนี้โดยไม่ถูกตรวจพบแม้ว่าระบบจะเรียกใช้โปรแกรมป้องกันไวรัสก็ตาม นอกจากนี้เนื่องจากข้อมูลที่เข้ารหัสเป็นข้อมูลเฉพาะของผู้ใช้จึงไม่มีการแจ้งเตือน UAC โดยแอปพลิเคชันที่พยายามเข้าถึงข้อมูลนี้ ก่อนที่จะคิดว่านี่เป็นข้อบกพร่องในระบบปฏิบัติการนี่เป็นวิธีที่ต้องเป็นอย่างอื่น IE และแอปพลิเคชัน Windows อื่น ๆ ที่ใช้พื้นที่เก็บข้อมูลที่มีการป้องกันจะเรียกใช้พรอมต์ UAC ทุกครั้งที่เปิด
จะทำอย่างไรหากคอมพิวเตอร์ของฉันถูกขโมย
คำตอบง่ายๆคือข้อมูลนี้ปลอดภัยพอ ๆ กับรหัสผ่านบัญชี Windows ของคุณ ดังที่เราได้แสดงไว้ข้างต้นเมื่อคุณเข้าสู่ระบบบัญชีโดยใช้รหัสผ่านที่เหมาะสมข้อมูลทั้งหมดนี้สามารถเข้าถึงได้ง่าย หากคุณไม่ใช้รหัสผ่านแสดงว่าคุณไม่มีการป้องกัน
เพื่อก้าวไปอีกขั้นฉันได้ทำ รีเซ็ตรหัสผ่านบัญชี เพื่อดูว่าจะเกิดอะไรขึ้นเมื่อมีการเปลี่ยนรหัสผ่านอย่างจริงจังนอก Windows หลังจากรีเซ็ตฉันได้บันทึกรหัสผ่านที่อยู่ Gmail ใหม่ (blah @) และเรียกใช้ IE PassView ฉันสามารถเห็นชื่อผู้ใช้ก่อนหน้านี้ (myemail @) ซึ่งถูกบันทึกไว้ก่อนที่จะรีเซ็ตรหัสผ่าน แต่เนื่องจากรหัสผ่านของบัญชี (เช่น“ รหัสผ่านหลัก”) ที่ใช้บันทึกข้อมูลแตกต่างกันจึงไม่สามารถถอดรหัส IE ได้ รหัสผ่านที่บันทึกไว้ภายใต้รหัสผ่านบัญชี Windows ก่อนหน้านี้ นี่เป็นสิ่งที่ดีแน่นอน
สรุป
ในตอนท้ายของวันความปลอดภัยของรหัสผ่านที่บันทึกไว้ใน IE ของคุณขึ้นอยู่กับผู้ใช้ทั้งหมด:
- ใช้รหัสผ่านบัญชี Windows ที่รัดกุมมาก โปรดทราบว่ามี ยูทิลิตี้ที่สามารถถอดรหัสรหัสผ่าน Windows . หากมีคนได้รับรหัสผ่านบัญชี Windows ของคุณก็จะสามารถเข้าถึงรหัสผ่าน IE ที่คุณบันทึกไว้ได้
- ป้องกันตัวเองจากมัลแวร์ หากยูทิลิตี้สามารถเข้าถึงรหัสผ่านที่คุณบันทึกไว้ได้อย่างง่ายดายเหตุใดจึงไม่มีมัลแวร์
- บันทึกรหัสผ่านของคุณในระบบจัดการรหัสผ่านเช่น KeePass แน่นอนว่าคุณไม่สะดวกในการให้เบราว์เซอร์กรอกรหัสผ่านของคุณโดยอัตโนมัติ
- ใช้ยูทิลิตี้ของบุคคลที่สามซึ่งทำงานร่วมกับ IE และใช้รหัสผ่านหลักเพื่อจัดการรหัสผ่านของคุณ
- เข้ารหัสฮาร์ดไดรฟ์ทั้งหมดของคุณโดยใช้ TrueCrypt นี่เป็นทางเลือกที่สมบูรณ์และสำหรับการป้องกันพิเศษ แต่ถ้าใครบางคนไม่สามารถถอดรหัสไดรฟ์ของคุณได้พวกเขาก็สามารถเอาอะไรออกไปได้
แน่นอนว่าทั้งสองอย่างนี้ดำเนินไปโดยไม่ต้องพูด แต่นี่เป็นการตอกย้ำถึงความสำคัญของการดำเนินการเพื่อให้ระบบของคุณปลอดภัย
