Častá otázka týkající se prohlížeče Google Chrome„Proč neexistuje hlavní heslo?“ Google (neoficiálně) zaujal postoj, že hlavní heslo poskytuje falešný pocit bezpečí a nejschopnější formou ochrany těchto citlivých dat je celková bezpečnost systému.
Jak přesně jsou tedy vaše uložená data o heslech v prohlížeči Google Chrome bezpečná?
Prohlížení uložených hesel
Chrome obsahuje vlastní správce hesel, kterýje přístupný přes Možnosti> Osobní věci> Správa uložených hesel. Toto není nic nového a pokud povolíte Chromu, aby vám ukládal hesla, jste již pravděpodobně o této funkci informováni.
Pěkné drobné zabezpečení je, že musíte nejprve kliknout na tlačítko Zobrazit vedle každého hesla, které chcete zobrazit.
Přestože k tomu není žádné omezenína obrazovce (tj. pokud máte přístup na plochu, kde je nainstalován Chrome, můžete se dostat k heslům), je nutné alespoň jedno zásahy uživatele k zobrazení každého hesla, aniž by bylo možné je hromadně exportovat do prostého textového souboru.
Kde jsou uložena hesla?
Uložená data hesel jsou uložena v databázi SQLite umístěné zde:
% UserProfile% AppDataLocalGoogleChromeUser DataDefaultLogin Data
Tento soubor můžete otevřít (název souboru je pouze„Přihlašovací údaje“) pomocí prohlížeče SQLite Database Browser a zobrazte tabulku „přihlášení“, která obsahuje uložená hesla. Uvidíte, že pole „password_value“ je nečitelné, protože hodnota je šifrována.
Jak zabezpečená jsou šifrovaná data?
Chcete-li provést šifrování (ve Windows), Chromepoužívá funkci API poskytovanou Windows, díky které jsou šifrovaná data dešifrovatelná pouze uživatelským účtem Windows použitým k šifrování hesla. V zásadě je tedy vaše hlavní heslo vaše heslo k účtu Windows. Výsledkem je, že jakmile se přihlásíte do systému Windows pomocí svého účtu, bude tato data prohlížečem Chrome dešifrována.
Protože však heslo vašeho účtu Windows jekonstantní přístup k „hlavnímu heslu“ není pro Chrome exkluzivní, protože k těmto datům se mohou dostat i externí nástroje - a také je dešifrovat. Pomocí volně dostupného nástroje ChromePass od NirSoft můžete vidět všechna uložená hesla a snadno je exportovat do prostého textového souboru.
Má tedy smysl, že pokud se jedná o nástroj ChromePasspřístup k těmto datům, malware spuštěný tak, jak k němu mohl přistupovat příslušný uživatel. Když je soubor ChromePass.exe nahrán na VirusTotal, označila jej jako nebezpečná pouze polovina antivirových modulů. Zatímco v tomto případě je obslužný program bezpečný, je trochu uklidňující vidět, že toto chování je přinejmenším označeno mnoha AV balíčky (ačkoli Microsoft Security Essentials není jedním z AV motorů, které jej označily jako nebezpečné).
Lze ochranu obejít?
Předpokládejme, že je váš počítač ukraden a zlodějresetuje vaše heslo Windows, aby se nativně přihlásil k vaší instalaci. Pokud by se následně pokusili zobrazit hesla v Chromu nebo použít nástroj ChromePass, údaje o heslech by nebyly k dispozici. Důvod je jednoduchý, protože „hlavní heslo“ (což bylo heslo vašeho účtu Windows před tím, než je násilně resetovalo mimo Windows), neodpovídá dešifrování.
Navíc, pokud někdo měl jednoduše kopírovatChromové heslo SQLite soubor databáze SQLite a pokusit se k němu přistupovat na jiném počítači, ChromePass by zobrazoval prázdná hesla ze stejného důvodu vysvětleného výše.
Závěr
Na konci dne závisí zabezpečení uložených hesel Chrome zcela na uživateli:
- Použijte velmi silné heslo účtu Windows. Nezapomeňte, že existují nástroje, které mohou dešifrovat hesla systému Windows. Pokud někdo získá vaše heslo k účtu Windows, bude mít přístup k uloženým heslům prohlížeče.
- Chraňte se před malwarem. Pokud obslužné programy mají snadný přístup k uloženým heslům, proč nemohou malware?
- Uložte svá hesla do systému správy hesel, jako je KeePass. Samozřejmě ztratíte pohodlí, když prohlížeč automaticky vyplní vaše hesla.
- Použijte obslužný program třetí strany, který se integruje do prohlížeče Chrome a používá ke správě hesel hlavní heslo.
- Zašifrujte celý pevný disk pomocí TrueCrypt. Je to zcela volitelné a je to ultra ochranné, ale pokud někdo nemůže disk dešifrovat, určitě z něj nemůže nic dostat.
Sečteno a podtrženo, je to pouze proto, aby byl váš systém v bezpečí a hesla Chrome by měla být přiměřeně bezpečná.
Stáhněte si ChromePass z NirSoft
Stáhněte si prohlížeč SQLite z Sourceforge
