Koliko su sigurne spremljene zaporke preglednika Chrome?
Uobičajeno pitanje o pregledniku Google Chrome je "zašto ne postoji glavna lozinka?" Google je (neslužbeno) prihvatio stav da glavna lozinka pruža lažni osjećaj sigurnosti, a najodrživiji oblik zaštite za ove osjetljive podatke je kroz cjelokupnu sigurnost sustava.
Dakle, koliko su sigurni podaci za spremljenu zaporku unutar preglednika Google Chrome?
Pregledavanje spremljenih lozinki
Chrome sadrži vlastiti upravitelj zaporki kojem je moguće pristupiti putem Opcije> Osobne stvari> Upravljanje spremljenim zaporkama. To nije ništa novo i ako dopustite Chromeu da vam pohrani zaporke, vjerojatno ste već upoznati s tom značajkom.
Lijep dodir manje sigurnosti je da prvo morate kliknuti gumb za prikaz pored svake lozinke koju želite pogledati.
Iako nema ograničenja za pristup ovom zaslonu (tj. Ako imate pristup radnoj površini na kojoj je Chrome instaliran, možete doći do zaporki), potrebno je barem intervenciju korisnika za prikaz svake zaporke bez mogućnosti da ih izvezete skupno u običnu tekstualnu datoteku.
Gdje je pohranjena lozinka?
Spremljeni podaci za zaporku spremaju se u SQLite bazu podataka koja se nalazi ovdje:
% UserProfile% AppData Lokalno Google podaci korisnika Chromea Zadani podaci za prijavu
Možete otvoriti ovu datoteku (naziv datoteke je samo "Login Data") koristeći SQLite Database Browser i pregledati tablicu "logins" koja sadrži spremljene lozinke. Primijetit ćete da je polje "password_value" nečitljivo jer je vrijednost šifrirana.
Koliko su sigurni šifrirani podaci?
Da biste izvršili enkripciju (u sustavu Windows), Chrome koristi funkciju API-ja za Windows koja šifrirane podatke dešifrira samo pomoću Windows korisničkog računa koji se koristi za šifriranje zaporke. Dakle, u biti, vaša glavna lozinka je lozinka za Windows račun. Zbog toga, nakon što ste prijavljeni u sustav Windows pomoću računa, Chrome će dešifrirati te podatke.
Međutim, zbog toga što je lozinka vašeg Windows računa stalna, pristup "glavnoj lozinki" nije isključivo za Chrome jer vanjski programi mogu doći do tih podataka - i dešifrirati - kao dobro. Koristeći besplatni uslužni program ChromePass tvrtke NirSoft, možete vidjeti sve spremljene podatke o zaporkama i jednostavno ih izvesti u običnu tekstualnu datoteku.
Stoga ima smisla da ako uslužni program ChromePass može pristupiti tim podacima, zlonamjerni softver se pokreće jer mu korisnik može pristupiti. Kada se ChromePass.exe učita u VirusTotal, nešto više od polovice antivirusnih programa označava da je to opasno. Dok je u ovom slučaju uslužni program siguran, malo je ohrabrujuće vidjeti da je ovo ponašanje barem označeno mnogim AV paketima (iako Microsoft Security Essentials nije jedan od AV motora koji su ga prijavili kao opasne).
Može li se Zaštita obiti?
Pretpostavimo da je vaše računalo ukradeno i da lopov vraća vašu lozinku za Windows kako bi se izvorno prijavili na instalaciju. Ako naknadno pokušaju pregledati zaporke u Chromeu ili upotrijebiti uslužni program ChromePass, podaci za zaporku neće biti dostupni. Razlog je jednostavan, jer se "glavna zaporka" (koja je bila lozinka računa Windowsa prije nego što je silom ponovno postavite izvan sustava Windows) ne podudara tako da dešifriranje ne uspije.
Osim toga, ako bi netko jednostavno kopirao datoteku baze podataka za Chrome SQL password i pokušao joj pristupiti na drugom računalu, ChromePass bi prikazao prazne zaporke iz istog razloga kao što je gore navedeno.
Zaključak
Na kraju dana sigurnost zaporki spremljenih u Chromeu potpuno ovisi o korisniku:
- Upotrijebite vrlo jaku lozinku za Windows račun. Imajte na umu da postoje uslužni programi koji mogu dešifrirati Windows lozinke. Ako netko dobije vašu lozinku za Windows račun, tada ima pristup spremljenim zaporkama preglednika.
- Zaštitite se od zlonamjernog softvera. Ako uslužni programi mogu lako pristupiti spremljenim zaporkama, zašto ne mogu zlonamjerni softver?
- Spremite svoje lozinke u sustav za upravljanje lozinkama kao što je KeePass. Naravno, gubite praktičnost da preglednik automatski popuni vaše lozinke.
- Upotrijebite pomoćni program treće strane koji se integrira s Chromeom i koristi glavnu zaporku za upravljanje zaporkama.
- Šifrirajte cijeli tvrdi disk koristeći TrueCrypt. Ovo je potpuno neobavezno i za ultra zaštitne, ali ako netko ne može dešifrirati vaš pogon oni sigurno ne mogu dobiti ništa od toga.
Zaključak je jednostavno da bi vaš sustav bio siguran, a lozinke za Chrome trebale bi biti i prilično sigurne.
Preuzmite ChromePass iz NirSofta
Preuzmite SQLite preglednik iz programa Sourceforge
