Eines der bequemsten Tools, die Browser bietenist die Möglichkeit, Ihre Passwörter in Anmeldeformularen zu speichern und automatisch vorzufüllen. Da für so viele Websites Konten erforderlich sind und es bekannt ist (oder zumindest sein sollte), dass die Verwendung eines gemeinsam genutzten Kennworts ein großes Nein ist, ist ein Kennwortmanager fast unverzichtbar.
Wenn Sie ein IE-Benutzer sind und mit "Ja" antworten, damit sich der Browser Ihr Passwort merken kann, wie sicher sind diese Informationen?
Wo werden sie gespeichert?
Ab Internet Explorer 7 lautet das Kennwortin der Systemregistrierung (KEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerIntelliFormsStorage2) gespeichert und mit dem Anmeldekennwort des Windows-Benutzers unter Verwendung der Data Protection API, die Triple DES-Verschlüsselung verwendet, verschlüsselt.
Wie sicher sind diese Daten?
Zum Zeitpunkt des Schreibens ist Triple DESpraktisch unzerbrechlich durch Brute-Force-Methoden. Es ist jedoch nicht unbedingt erforderlich, die Verschlüsselung zu erzwingen, sobald Sie in dem Windows-Konto angemeldet sind, in dem Ihre Kennwortdaten gespeichert sind, da Windows davon ausgeht, dass der Zugriff von Anwendungen auf diese Daten nach dem Anmelden sicher ist. Da der Internet Explorer kein Hauptkennwort verwendet (z. B. das, was Firefox anbietet), um die gespeicherten Kennwörter zu schützen, ist das entsprechende Kennwort für das Windows-Konto der Triple DES-Entschlüsselungsschlüssel.
Einfach ausgedrückt, wenn Sie sich mit dem bei Windows anmelden könnenKonto und Passwort können Sie die gespeicherten Browser-Passwörter sehen. Mit einem frei verfügbaren Dienstprogramm wie dem IE PassView von NirSoft können Sie jedes gespeicherte IE-Kennwort anzeigen und exportieren.
Kann Malware darauf zugreifen?
Nachdem Sie gesehen haben, wie einfach es ist, an diese Daten zu gelangen,Die nächste logische Frage ist, ob Malware leicht an diese Daten gelangen kann. Ich bin kein Malware-Entwickler, sehe jedoch keinen Grund dafür. Wenn ich das IE PassView-Dienstprogramm mit Virus Total scanne, werden 55% der verwendeten Scanner erkennen, dass es sich um Malware handelt (eine davon ist Security Essentials).
Während in unserem Fall das Ergebnis falsch positiv ist,Dies zeigt, dass es möglich ist, dass ein Teil der Malware unentdeckt auf diese Daten zugreift, selbst wenn auf dem System ein Virenschutzprogramm ausgeführt wird. Da die verschlüsselten Daten benutzerspezifisch sind, wird von einer Anwendung, die versucht, auf diese Daten zuzugreifen, keine UAC-Eingabeaufforderung ausgelöst. Bevor man denkt, dass dies ein Fehler im Betriebssystem ist, muss es wirklich so sein, sonst würden der IE und eine Vielzahl anderer Windows-Anwendungen, die den geschützten Speicher verwenden, bei jedem Öffnen eine UAC-Eingabeaufforderung auslösen.
Was ist, wenn mein Computer gestohlen wird?
Die einfache Antwort lautet: Diese Daten sind so sicher wieIhr Windows-Konto Passwort. Wie wir oben gezeigt haben, sind alle diese Daten leicht zugänglich, wenn Sie sich mit dem entsprechenden Passwort in das Konto einloggen. Wenn Sie kein Passwort verwenden, haben Sie keinen Schutz.
Um noch einen Schritt weiter zu gehen, habe ich das zurückgesetztKontokennwort, um zu sehen, was passieren würde, wenn das Kennwort außerhalb von Windows gewaltsam geändert würde. Nach dem Zurücksetzen habe ich ein neues Passwort für die Google Mail-Adresse (blah @) gespeichert und IE PassView ausgeführt. Ich konnte den vorherigen Benutzernamen (myemail @) sehen, der vor dem Zurücksetzen des Kennworts gespeichert wurde. Da sich die zum Speichern der Daten verwendeten Kontokennwörter (dh das „Hauptkennwort“) jedoch unterschieden, konnte der IE nicht entschlüsselt werden Kennwort, das unter dem vorherigen Windows-Kennwort gespeichert wurde. Das ist definitiv eine gute Sache.
Fazit
Letztendlich hängt die Sicherheit Ihrer im Internet Explorer gespeicherten Passwörter vollständig vom Benutzer ab:
- Verwenden Sie ein sehr starkes Windows-Kennwort. Beachten Sie, dass es Dienstprogramme gibt, die Windows-Kennwörter entschlüsseln können. Wenn jemand Ihr Windows-Kontokennwort erhält, hat er Zugriff auf Ihre gespeicherten IE-Kennwörter.
- Schützen Sie sich vor Malware. Wenn Dienstprogramme problemlos auf Ihre gespeicherten Kennwörter zugreifen können, warum kann dann keine Malware erstellt werden?
- Speichern Sie Ihre Passwörter in einem Passwortverwaltungssystem wie KeePass. Natürlich verlieren Sie die Bequemlichkeit, dass der Browser Ihre Passwörter automatisch ausfüllt.
- Verwenden Sie ein Hilfsprogramm eines Drittanbieters, das in den IE integriert ist und ein Hauptkennwort zum Verwalten Ihrer Kennwörter verwendet.
- Verschlüsseln Sie Ihre gesamte Festplatte mit TrueCrypt. Dies ist völlig optional und dient dem Ultra-Schutz, aber wenn jemand Ihr Laufwerk nicht entschlüsseln kann, kann er mit Sicherheit etwas davon entfernen.
Natürlich ist beides selbstverständlich, aber dies unterstreicht nur die Wichtigkeit, Schritte zu unternehmen, um Ihr System sicher zu halten.
Laden Sie IE PassView von NirSoft herunter
