Jak bezpieczne są Twoje zapisane hasła przeglądarki Chrome?

Typowe pytanie o przeglądarkę Google Chrome to "dlaczego nie ma głównego hasła?" Firma Google (nieoficjalnie) przyjęła pozycję, że hasło główne zapewnia fałszywe poczucie bezpieczeństwa, a najbardziej realną formą ochrony tych poufnych danych jest poprzez ogólne bezpieczeństwo systemu.

Tak dokładnie, jak bezpieczne są twoje zapisane dane hasła w Google Chrome?

Wyświetlanie zapisanych haseł

Chrome zawiera własny menedżer haseł, do którego można przejść przez Opcje> Rzeczy osobiste> Zarządzaj zapisanymi hasłami. To nic nowego i jeśli pozwolisz Chrome na przechowywanie haseł, prawdopodobnie już wiesz o tej funkcji.

Miłym akcentem mniejszych zabezpieczeń jest to, że musisz najpierw kliknąć przycisk Pokaż obok każdego hasła, które chcesz wyświetlić.

Chociaż nie ma ograniczeń dostępu do tego ekranu (np. Jeśli masz dostęp do pulpitu, na którym zainstalowana jest Chrome, możesz uzyskać dostęp do haseł), wymagana jest przynajmniej interwencja użytkownika, aby wyświetlić każde hasło bez możliwości ich hurtowego eksportu do zwykłego pliku tekstowego.

Gdzie przechowywane są dane haseł?

Zapisane dane hasła są przechowywane w bazie danych SQLite znajdującej się tutaj:

% UserProfile% \ AppData \ Local \ Google \ Chrome \ Dane użytkownika \ Default \ Login Data

Możesz otworzyć ten plik (nazwa pliku to tylko "Dane logowania") za pomocą SQLite Database Browser i wyświetlić tabelę "loginy", która zawiera zapisane hasła. Zauważ, że pole "password_value" jest nieczytelne, ponieważ wartość jest zaszyfrowana.

Jak bezpieczne są zaszyfrowane dane?

Aby wykonać szyfrowanie (w systemie Windows), Chrome używa funkcji API dostarczanej przez system Windows, która sprawia, że zaszyfrowane dane są odczytywalne tylko przez konto użytkownika systemu Windows używane do szyfrowania hasła. Zasadniczo głównym hasłem jest hasło do konta systemu Windows. W rezultacie po zalogowaniu do systemu Windows przy użyciu konta dane te są odczytywalne przez Chrome.

Ponieważ jednak hasło do konta systemu Windows jest stałe, dostęp do "hasła głównego" nie dotyczy wyłącznie przeglądarki Chrome, ponieważ zewnętrzne narzędzia mogą uzyskiwać te dane - i odszyfrowywać je - również. Korzystając ze swobodnie dostępnego narzędzia ChromePass firmy NirSoft, możesz zobaczyć wszystkie zapisane dane hasła i łatwo wyeksportować je do zwykłego pliku tekstowego.

Ma to sens, jeśli narzędzie ChromePass ma dostęp do tych danych, może również uzyskać dostęp do złośliwego oprogramowania działającego jako odpowiedni użytkownik. Gdy ChromePass.exe zostanie załadowany do VirusTotal, nieco ponad połowa silników antywirusowych uzna je za niebezpieczne. Podczas gdy w tym przypadku narzędzie jest bezpieczne, to trochę uspokajające jest stwierdzenie, że to zachowanie jest co najmniej oznaczone przez wiele pakietów AV (chociaż Microsoft Security Essentials nie jest jednym z silników AV, który zgłosił to jako niebezpieczne).

Czy można obejść ochronę??

Załóżmy, że komputer został skradziony, a złodziej resetuje hasło systemu Windows w celu bezpośredniego zalogowania się do instalacji. Jeśli następnie spróbują wyświetlić hasła w Chrome lub skorzystają z narzędzia ChromePass, dane hasła nie będą dostępne. Powód jest prosty, ponieważ "hasło główne" (które było hasłem do konta systemu Windows przed ich wymuszonym resetowaniem poza systemem Windows) nie pasuje, więc odszyfrowywanie się nie powiedzie.

Dodatkowo, jeśli ktoś skopiuje plik bazy danych SQLite hasła Chrome i spróbuje uzyskać do niego dostęp na innym komputerze, to ChromePass wyświetla puste hasła z tego samego powodu, o którym mowa powyżej.

Wniosek

Podsumowując, bezpieczeństwo zapisanych w Chrome haseł zależy całkowicie od użytkownika:

Użyj bardzo silnego hasła do konta systemu Windows. Należy pamiętać, że istnieją narzędzia, które mogą odszyfrować hasła systemu Windows. Jeśli ktoś otrzyma hasło do konta Windows, uzyska dostęp do zapisanych haseł przeglądarki.
Chroń się przed złośliwym oprogramowaniem. Jeśli narzędzia są w stanie łatwo uzyskać dostęp do zapisanych haseł, dlaczego nie można złośliwego oprogramowania?
Zapisz swoje hasła w systemie zarządzania hasłami, takim jak KeePass. Oczywiście tracisz możliwość automatycznego wypełniania haseł przez przeglądarkę.
Użyj zewnętrznego narzędzia, które integruje się z Chrome i używa hasła głównego do zarządzania hasłami.
Zaszyfruj cały dysk twardy za pomocą TrueCrypt. Jest to całkowicie opcjonalne i bardzo ochronne, ale jeśli ktoś nie może odszyfrować dysku, z pewnością nie może nic z niego zrobić.

Najważniejsze jest to, aby system był bezpieczny, a hasła do Chrome również rozsądnie bezpieczne.

Pobierz ChromePass z NirSoft

Pobierz przeglądarkę SQLite od Sourceforge