Jak bezpečná jsou uložená hesla prohlížeče Chrome?

Obvyklá otázka týkající se prohlížeče Google Chrome je "proč neexistuje hlavní heslo?" Společnost Google (neoficiálně) zaujala stanovisko, že hlavní heslo poskytuje falešný pocit bezpečí a nejschopnější forma ochrany těchto citlivých dat je prostřednictvím celkové bezpečnosti systému.

Tak přesně jak jsou vaše uložená data o heslech uvnitř Google Chrome?

Zobrazení uložených hesel

Chrome obsahuje vlastní správce hesel, který je přístupný prostřednictvím možnosti Možnosti> Osobní věci> Správa uložených hesel. Není to nic nového a pokud povolíte prohlížení hesel prohlížečem Chrome, pravděpodobně již tuto funkci znáte.

Pěkný dotek menší bezpečnosti je, že musíte nejprve kliknout na tlačítko Zobrazit vedle každého hesla, které chcete zobrazit.

Zatímco pro přístup na tuto obrazovku není žádné omezení (tj. Pokud máte přístup na pracovní plochu, kde je nainstalován Chrome, můžete se dostat k heslům), je nutné minimálně zásah uživatele, aby bylo možné zobrazit každé heslo, aniž by bylo možné je hromadně exportovat do souboru prostého textu.

Kde jsou ukládány údaje o heslech?

Uložená hesla jsou uložena v databázi SQLite umístěné zde:

% UserProfile% \ AppData \ Local \ Google \ Chrome \ Data uživatele \ Výchozí \ Přihlašovací data

Tento soubor můžete otevřít (název souboru je pouze "Přihlašovací údaje") pomocí prohlížeče SQLite Database Browser a zobrazíte tabulku "přihlašovací údaje", která obsahuje uložená hesla. Všimnete si, že pole "password_value" je nečitelné, protože je šifrována.

Jak je zabezpečená šifrovaná data?

Chcete-li provést šifrování (v systému Windows), Chrome používá funkci rozhraní API poskytovanou systémem Windows, díky čemuž šifrované údaje mohou být dešifrovány pouze uživatelským účtem systému Windows používaným k šifrování hesla. V podstatě je vaše hlavní heslo vaše heslo účtu Windows. Výsledkem je, že jakmile jste přihlášeni do systému Windows pomocí svého účtu, tato data je Chrome rozpoznatelná.

Protože je však vaše heslo účtu Windows konstantní, přístup k "hlavnímu heslu" není pro prohlížeč Chrome exkluzivní, protože externí nástroje se k těmto datům mohou dostat - a dešifrovat je. Pomocí volně dostupného nástroje ChromePass od společnosti NirSoft můžete vidět všechna uložená hesla a snadno je exportovat do souboru s prostým textem.

Proto má smysl, že pokud nástroj ChromePass může přistupovat k těmto datům, může k němu přistupovat i malware běžící jako příslušný uživatel. Když je soubor ChromePass.exe odeslán do VirusTotal, jen více než polovina antivirových strojů je označena jako nebezpečná. Zatímco v tomto případě je nástroj v pořádku, je trochu uklidňující, že toto chování je přinejmenším označeno mnoha balíčky AV (ačkoli Microsoft Security Essentials není jedním z AV motorů, které ho hlásily jako nebezpečné).

Může být ochrana obklíčena?

Předpokládejme, že počítač je ukraden a zloděj resetuje vaše heslo systému Windows, aby se přihlásilo k vaší instalaci. Pokud by se následně pokoušeli zobrazit hesla v prohlížeči Chrome nebo používat nástroj ChromePass, údaje o heslech by nebyly k dispozici. Důvod je jednoduchý, protože "hlavní heslo" (což bylo heslo vašeho účtu Windows před tím, než je silně resetuje mimo Windows) neodpovídá, takže dešifrování selže.

Navíc, pokud by někdo jednoduše zkopíroval soubor databáze Chromeite SQLite a pokusil se jej získat přístup na jiném počítači, ChromePass by zobrazoval prázdná hesla ze stejného důvodu, jak je vysvětleno výše.

Závěr

Na konci dne zabezpečení hesel uložených v Chromu zcela závisí na uživateli:

• Použijte velmi silné heslo účtu Windows. Mějte na paměti, že existují nástroje, které mohou rozluštit hesla systému Windows. Pokud někdo dostane heslo k účtu Windows, pak má přístup k uloženým heslám prohlížeče.
• Chraňte se před malwarem. Pokud nástroje mohou snadno přistupovat k vašim uloženým heslům, proč nemůžu mít škodlivý software?
• Hesla uložte do systému správy hesel, jako je KeePass. Samozřejmě, že ztrácíte pohodlí tím, že prohlížeč automaticky zaplní vaše hesla.
• Použijte nástroj třetí strany, který se integruje do prohlížeče Chrome a ke správě hesel použije hlavní heslo.
• Šifrování celého pevného disku pomocí programu TrueCrypt. To je zcela volitelné a pro ultra ochranný, ale pokud někdo nemůže dešifrovat váš disk, jistě nemůže dostat něco z toho.

Spodní řádek je jednoduše udržet váš systém bezpečný a vaše hesla prohlížeče Chrome by měla být přiměřeně bezpečná.

Stáhněte si ChromePass od společnosti NirSoft

Stáhněte si SQLite Browser z Sourceforge