Viens no ērtākajiem rīkiem, ko piedāvā pārlūkprogrammasir iespēja saglabāt un automātiski aizpildīt savas paroles pieteikšanās veidlapās. Tā kā tik daudzām vietnēm ir nepieciešami konti, un ir labi zināms (vai tam vajadzētu būt vismaz), ka dalītas paroles lietošana ir liela nē, paroles pārvaldnieks ir gandrīz būtisks.
Tātad, ja esat IE lietotājs un atbildat “jā”, lai pārlūks varētu atcerēties jūsu paroli, cik droša ir šī informācija?
Kur viņi tiek izglābti?
Sākot ar Internet Explorer 7, parole irtiek saglabāti sistēmas reģistrā (KEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerIntelliFormsStorage2) un tiek šifrēti pret Windows lietotāja pieteikšanās paroli, izmantojot datu aizsardzības API, kas izmanto trīskāršu DES šifrēšanu.
Cik droši šie dati ir?
Šīs rakstīšanas laikā ir trīskāršais DESpraktiski nesalaužams, izmantojot brutālā spēka metodes. Tomēr tiešām nav nepieciešams brutāli piespiest šifrēšanu, kad esat pieteicies Windows kontā, kurā tiek saglabāti jūsu paroles dati, jo Windows liek domāt, ka pēc pieteikšanās tas ir drošs, ka lietojumprogrammas var piekļūt šiem datiem. Tā kā IE neizmanto galveno paroli (piemēram, to, ko piedāvā Firefox), lai aizsargātu saglabātās paroles, attiecīgā Windows konta parole ir trīskāršā DES atšifrēšanas atslēga.
Vienkārši sakot, ja jūs varat pieteikties sistēmā Windows arkontu un paroli, jūs varat redzēt saglabātās pārlūka paroles. Izmantojot brīvi pieejamu utilītu, piemēram, NirSoft IE PassView, varat apskatīt un eksportēt katru saglabāto IE paroli.
Tātad vai ļaunprātīga programmatūra var tam piekļūt?
Kad esat redzējis, cik viegli ir piekļūt šiem datiem,nākamais loģiskais jautājums ir, vai ļaunprogrammatūra var viegli piekļūt šiem datiem. Es neesmu ļaunprātīgas programmatūras izstrādātājs, bet es neredzu nevienu iemeslu, kāpēc tas to nevarētu. Ja es skenēju IE PassView utilītu, izmantojot Virus Total, jūs varat redzēt, ka 55% no viņu izmantotajiem skeneriem atklāj, ka tā ir ļaunprātīga programmatūra (viena no tām ir Security Essentials).
Lai gan mūsu gadījumā rezultāts ir kļūdaini pozitīvs,tas liecina, ka ļaunprātīgas programmatūras daļai ir iespējams piekļūt šiem datiem neatklāti pat tad, kad sistēma darbojas pretvīrusu gadījumā. Turklāt, tā kā šifrētie dati ir specifiski lietotājiem, lietojumprogramma, kas mēģina piekļūt šiem datiem, neuzsāks UAC uzvedni. Pirms domāt, ka tā ir OS kļūda, tas tiešām ir tāds, kā tam ir jābūt citādi, IE un citu Windows lietojumprogrammu, kas izmanto aizsargāto krātuvi, resursdators katru reizi atverot aktivizē UAC uzvedni.
Ko darīt, ja mans dators tiek nozagts?
Vienkārša atbilde ir, ka šie dati ir tikpat droši kājūsu Windows konta paroli. Kā mēs parādījām iepriekš, piesakoties kontā, izmantojot atbilstošo paroli, visi šie dati ir viegli pieejami. Ja nelietojat paroli, jums nav nekādas aizsardzības.
Lai spertu šo soli tālāk, es atiestatījukonta paroli, lai redzētu, kas notiktu, ja parole tiek piespiedu kārtā nomainīta ārpus Windows. Pēc atiestatīšanas es saglabāju jaunu Gmail adreses paroli (blah @) un palaidu IE PassView. Man bija iespēja redzēt iepriekšējo lietotāja vārdu (mans pasts @), kas tika saglabāts pirms paroles atiestatīšanas, taču, tā kā kontu saglabāšanai izmantotās konta paroles (ti, “galvenā parole”) ir atšķirīgas, tā nevarēja atšifrēt IE. parole, kas saglabāta ar iepriekšējo Windows konta paroli. Tā noteikti ir laba lieta.
Secinājums
Dienas beigās jūsu IE saglabāto paroļu drošība ir pilnībā atkarīga no lietotāja:
- Izmantojiet ļoti spēcīgu Windows konta paroli. Paturiet prātā, ka ir komunālie pakalpojumi, kas var atšifrēt Windows paroles. Ja kāds saņem jūsu Windows konta paroli, viņam ir piekļuve jūsu saglabātajām IE parolēm.
- Pasargājiet sevi no ļaunprātīgas programmatūras. Kāpēc komunālie pakalpojumi var viegli piekļūt jūsu saglabātajām parolēm, kāpēc nevar izmantot ļaunprātīgu programmatūru?
- Saglabājiet savas paroles paroļu pārvaldības sistēmā, piemēram, KeePass. Protams, jūs zaudējat ērtības, ja pārlūks automātiski aizpilda savas paroles.
- Izmantojiet trešās puses utilītu, kas integrējas ar IE, un paroļu pārvaldīšanai izmanto galveno paroli.
- Šifrējiet visu cieto disku, izmantojot TrueCrypt. Tas ir pilnīgi neobligāti un īpaši aizsargājošs, taču, ja kāds nevar atšifrēt jūsu disku, viņš noteikti var no tā kaut kā atbrīvoties.
Protams, abi šie elementi ir pašsaprotami, bet tas tikai pastiprina to, cik svarīgi ir veikt pasākumus, lai jūsu sistēma būtu droša.
Lejupielādējiet IE PassView no NirSoft
