Bagaimana Secure adalah Kata Laluan Pelayar Chrome yang Disimpan?
Persoalan biasa tentang Pelayar Google Chrome adalah "mengapa tidak ada kata laluan induk?" Google telah (tidak rasmi) mengambil kedudukan bahawa kata laluan induk memberikan rasa aman palsu dan bentuk perlindungan yang paling berdaya untuk data sensitif ini melalui keselamatan sistem keseluruhan.
Begitu tepat bagaimana data kata laluan anda disimpan di dalam Google Chrome?
Melihat kata laluan yang disimpan
Chrome, termasuk pengurus kata laluan sendiri yang boleh diakses melalui Pilihan> Perkara Peribadi> Urus kata laluan yang disimpan. Ini bukan sesuatu yang baru dan jika anda membenarkan Chrome menyimpan kata laluan anda, anda mungkin sudah mengetahui ciri ini.
Sentuhan keselamatan yang baik adalah bahawa anda perlu terlebih dahulu mengklik butang pameran di sebelah setiap kata laluan yang anda mahu lihat.
Walaupun tidak ada sekatan untuk mengakses skrin ini (iaitu jika anda mempunyai akses ke desktop yang dipasang Chrome, anda boleh masuk ke kata laluan), ada sekurang-kurangnya campur tangan pengguna yang diperlukan untuk melihat setiap kata laluan tanpa cara untuk mengeksportnya secara pukal kepada fail teks biasa.
Di mana Data Kata Laluan Disimpan?
Data kata laluan yang disimpan disimpan dalam pangkalan data SQLite yang terletak di sini:
% UserProfile% \ AppData \ Local \ Google \ Chrome \ Data Pengguna \ Default \ Login Data
Anda boleh membuka fail ini (nama fail hanya "Data Log Masuk") menggunakan SQLite Database Browser dan melihat "logins" jadual yang mengandungi kata laluan yang disimpan. Anda akan melihat bidang "password_value" tidak dapat dibaca kerana nilai disulitkan.
Bagaimana Secure adalah Data yang Disulitkan?
Untuk melaksanakan penyulitan (pada Windows), Chrome menggunakan Windows yang menyediakan fungsi API yang menjadikan data yang disulitkan hanya boleh diterangkan oleh akaun pengguna Windows yang digunakan untuk menyulitkan kata laluan. Oleh itu, kata laluan utama anda adalah kata laluan akaun Windows anda. Akibatnya, sebaik sahaja anda log masuk ke Windows menggunakan akaun anda, data ini dapat diuraikan oleh Chrome.
Walau bagaimanapun, kerana kata laluan akaun Windows anda adalah tetap, akses kepada "kata laluan induk" tidak eksklusif kepada Chrome kerana utiliti luaran boleh mendapatkan data ini - dan menyahsulit - juga. Menggunakan utiliti bebas ChromePass yang tersedia oleh NirSoft, anda boleh melihat semua data kata laluan yang disimpan dan mengeksport dengan mudah ke fail teks biasa.
Oleh itu masuk akal bahawa jika utiliti ChromePass boleh mengakses data ini, malware berjalan sebagai pengguna masing-masing boleh mengaksesnya juga. Apabila ChromePass.exe dimuat naik ke VirusTotal, hanya separuh daripada enjin anti-virus menandakan ia berbahaya. Walaupun dalam kes ini, utiliti adalah selamat, ia sedikit menenangkan untuk melihat bahawa tingkah laku ini sekurang-kurangnya ditandai oleh banyak pakej AV (walaupun Microsoft Security Essentials bukan salah satu enjin AV yang melaporkannya sebagai berbahaya).
Bolehkah Perlindungan Dilancarkan?
Katakan komputer anda dicuri dan pencuri mengeset semula kata laluan Windows anda supaya secara native masuk ke pemasangan anda. Jika mereka kemudian cuba melihat kata laluan dalam Chrome atau menggunakan utiliti ChromePass, data kata laluan tidak akan tersedia. Alasannya mudah seperti "kata laluan tuan" (yang merupakan kata laluan akaun Windows anda sebelum mereka mengeset semula ia di luar Windows) tidak sepadan sehingga dekripsi gagal.
Di samping itu, jika seseorang hanya menyalin fail pangkalan data SQLite kata laluan Chrome dan cuba mengaksesnya di komputer lain, ChromePass akan memaparkan kata laluan kosong untuk alasan yang sama dijelaskan di atas.
Kesimpulannya
Pada penghujung hari, keselamatan kata laluan yang disimpan Chrome bergantung sepenuhnya pada pengguna:
- Gunakan kata laluan akaun Windows yang sangat kuat. Perlu diingat, terdapat utiliti yang boleh menguraikan kata laluan Windows. Jika seseorang mendapat kata laluan akaun Windows anda maka mereka mempunyai akses kepada kata laluan pelayar anda yang disimpan.
- Lindungi diri anda dari malware. Sekiranya utiliti dapat mengakses kata laluan yang disimpan dengan mudah, mengapa tidak dapat perisian hasad?
- Simpan kata laluan anda dalam sistem pengurusan kata laluan seperti KeePass. Sudah tentu, anda kehilangan kemudahan untuk mempunyai penyemak imbas automatik mengisi kata laluan anda.
- Gunakan utiliti pihak ke-3 yang terintegrasi dengan Chrome dan gunakan kata laluan induk untuk menguruskan kata laluan anda.
- Sulitkan seluruh cakera keras anda menggunakan TrueCrypt. Ini benar-benar pilihan dan untuk pelindung ultra, tetapi jika seseorang tidak dapat menyahsulit pemacu anda, mereka pasti tidak dapat mengeluarkannya.
Intinya adalah untuk mengekalkan sistem anda dan kata laluan Chrome anda semestinya selamat.
Muat turun ChromePass dari NirSoft
Muat turun Pelayar SQLite dari Sourceforge
