Chrome自带密码管理并不安全,浅谈一些潜在的风险

作为全球最流行的浏览器,Google Chrome自带的同步服务自然是备受追捧。自带的密码管理功能联动Google账户也是很香的,可是你有没有深入思考过它也许不是那么的完美安全呢?

chrome密码管理功能

价值极高的密码作为黑客眼中的香饽饽,学会盗取它简直就是必修课。有了一个密码就能撞库获取更多的隐私信息。那么为了保护信息,势必要将密码加密,可是…谷歌它做了什么呢?

谷歌将密码管理功能的数据库文件储存在了本地

%UserProfile%\AppData\Local\Google\Chrome\User Data\Default\Login Data

谷歌并不是什么都没有干,据其他网友分析,谷歌为了保护敏感信息引用了微软提供的一个自带API:DPAPI(全称:Data Protection Application Programming Interface)这个API只允许有密码保护的Windows用户去解密加密的数据。所以说,你的主密码就是你的Windows用户密码。想要解密它,就只能使用当前电脑当前的Windows账户,条件缺一不可。如果恰好你的微软账户密码泄露,就相当于将你存在Chrome中的密码全部拱手相让。

无权限随意访问的目录

DPAPI也不能保证数据库的绝对安全,自然而然有人开发了一些第三方工具能够获取这个密码。比如NirSoft提供的ChromePass。而如果碰巧你正在使用远古版本(2013)的Google Chrome,并且你的网络环境不允许浏览器自动更新,那么其他人甚至可以直接打开浏览器,点击显示密码,没有安全验证的直接查看明文密码。

由于Windows系统开放的特性,几乎所有被有心设计过的第三方软件都能读取到Chrome浏览器的密码数据库文件。只需读取、拷贝、上传到第三方服务器,这就给暴力破解留下了充裕的时间。

关于Chrome这方面的安全性,Chrome 浏览器安全技术主管 Justin Schuh 在 HackerNews 发帖做了解释——主密码提供了一种虚假的安全感,保护敏感数据的最可行保护方式是要取决于系统的整体安全性。

Elliot Kember 完全是小白用户的看法,他们花费了多年的时间考虑这个问题,并且有大量的数据支持这个决定,在他看来,如果有人入侵了你的系统用户账号,即使再多的安全措 施也是无用的。密码加密的想法虽然出自好意,但是 Chrome 团队不想给用户安全的错觉或者鼓励危险的行为。那不是他们处理安全问题的方式。

Justin Schuh 的采访

啊?“安全的错觉”?难道普通用户会去设置里了解明文保存的事实么?如果 Chrome 明确提示说“密码会以明文”保存,或许用户不会有“安全的错觉”,但在没有更多提示的情况下,用户反而会产生“安全的错觉”吧。另外,根据 Google 工程师的逻辑,一旦坏人进了你的家门,所有的东西都有危险,所以任何柜子都不要加锁么?古怪的逻辑,而且在现实中,安全问题一定是来自专业黑客么?

引用自爱范儿 http://www.ifanr.com/328760

看上去Google的天才工程师都为你想好了是吧,以为自己可以高枕无忧了。可是这就像是先有鸡还是先有蛋的问题一样。虽然说能够物理接触到计算机的人,即使浏览器不能显示你的密码,居心不良的人只要在你电脑上安装一个内存读取的木马,也就什么都知道了。可这并不代表作为服务的提供者,谷歌就有了在保护用户安全方面偷懒的理由,创建一个新加密算法对于谷歌来说并不是什么难事,只是他们不想做罢了。同样的微软也有责任,为什么不建立一个更好的文件权限管理制度并合并入UAC呢?抄抄Android的作业也未尝不可。毕竟在一个ARM能跑x86程序、iPhone 7能跑Android系统的年代,还有什么“离谱”的事情不能发生呢?到头来还得是用户盯防谨记这些薄弱环节可能存在的安全风险,简直是滑天下之大稽。