Angajații Google pot vedea parolele mele Google Chrome salvate?

Stocarea parolelor în browser-ul dvs. pare a fi un economizor de timp excelent, dar parolele sunt sigure și inaccesibile pentru alții (chiar și pentru angajații companiei de browser), atunci când sunt spulberați?

Sesiunea de întrebări și răspunsuri din ziua de astăzi vine de la amabilitatea SuperUser - o subdiviziune a Stack Exchange, o grupare bazată pe comunitate a site-urilor web Q & A.

Intrebarea

Cititorul de super-utilizatori MMA este curios dacă angajații Google au (sau ar putea avea) acces la parolele pe care le stochează în Google Chrome:

Înțeleg că suntem cu adevărat tentați să ne salvăm parolele în Google Chrome. Beneficiul probabil este de două ori,

• Nu aveți nevoie să memorați și să introduceți acele parole lungi și criptice.
• Acestea sunt disponibile oriunde v-ați conectat la contul dvs. Google.

Ultimul punct mi-a stârnit îndoiala. Deoarece parola este disponibilă oriunde, stocarea trebuie să fie localizată într-o locație centrală, iar aceasta ar trebui să fie la Google.

Acum, întrebarea mea este simplă, poate un angajat Google să-mi vadă parolele?

Căutarea pe Internet a dezvăluit mai multe articole / mesaje.

• Salvezi parole în Chrome? Poate că ar trebui să vă reconsidereți: Discuțiile despre parolele dvs. fiind furate de cineva care are acces la contul dvs. de computer. Nu sa menționat nimic despre securitatea și vulnerabilitatea centralizată a stocării. Există chiar și un răspuns din partea conducătorului tehnic pentru securitatea browserului Chrome despre prima problemă.
• Strategia de securitate a parolei nebune a parolei Chrome: în mare parte de-a lungul aceleiași linii. Puteți să furați parola de la cineva dacă aveți acces la contul computerului.
• Cum să fure parolele salvate în Google Chrome în 5 pași simpli: Vă învață cum să efectuați efectiv act menționate în ultimele două când aveți acces la contul altcuiva.

Există multe altele (inclusiv cele de la acest site), mai ales de-a lungul aceleiași linii, puncte, contra-puncte, dezbateri imense. Refuz să le menționez aici, purtați pur și simplu o căutare dacă doriți să le găsiți.

Revenind la interogarea mea inițială, poate un angajat Google să-mi vadă parola? Deoarece pot vedea parola folosind un buton simplu, cu siguranță pot fi dezarhivate (decriptați) chiar dacă sunt criptate. Acest lucru este foarte diferit de parolele salvate în sistemul de operare Unix, unde parola salvată nu poate fi văzută niciodată în text simplu.

Ei folosesc un algoritm de criptare unidirecțional pentru a vă cripta parolele. Această parolă criptată este apoi stocată în fișierul passwd sau umbra. Când încercați să vă conectați, parola pe care o introduceți este criptată din nou și comparată cu intrarea din fișierul care stochează parolele. Dacă se potrivesc, trebuie să fie aceeași parolă și vi se permite accesul. Astfel, un superuser îmi poate schimba parola, poate bloca contul, dar nu-mi poate vedea parola.

Deci, preocupările lui sunt bine fondate sau o mică înțelegere îi va înlătura îngrijorarea?

Răspunsul

Contribuitorul Super Zeel îi ajută pe Zeel să-și pună mintea la ușurință:

Răspuns scurt: Nu *

Parolele stocate pe mașina dvs. locală pot fi decriptate de Chrome, atâta timp cât contul dvs. de utilizator OS este conectat. Și apoi le puteți vedea în text simplu. La început, acest lucru pare oribil, dar cum credeți că a funcționat funcția de auto-umplere? Când câmpul de parolă este completat, Chrome trebuie să introducă parola reală în elementul de formă HTML - sau altfel pagina nu ar funcționa corect și nu ați putea trimite formularul. Și dacă conexiunea la site nu este peste HTTPS, textul simplu este apoi trimis prin internet. Cu alte cuvinte, dacă cromul nu poate obține parolele textului simplu, atunci ele sunt total inutile. Un hash cu o singură cale nu este bun, pentru că trebuie să le folosim.

Acum, parolele sunt criptate, singura modalitate de a le readuce în text simplu este să aveți cheia de decriptare. Acea cheie este parola dvs. Google sau o cheie secundară pe care o puteți configura. Când vă conectați la Chrome și sincronizați, serverele Google vor transmite criptat parole, setări, marcaje, auto-umplere, etc., la mașina dvs. locală. Aici Chrome va decripta informațiile și va putea să le folosească.

La sfârșitul Google, toate aceste informații sunt stocate în starea lor criptată și nu au cheia pentru ao decripta. Parola contului dvs. este verificată împotriva unui hash pentru a vă conecta la Google și chiar dacă lăsați-l să rețină cromul, acea versiune criptată este ascunsă în același pachet ca celelalte parole, imposibil de accesat. Deci, un angajat ar putea lua probabil o groapă de date criptate, dar nu le-ar face nici un bine, deoarece nu ar avea cum să o folosească.

Deci nu, angajații Google nu pot accesa parolele dvs., deoarece sunt criptați pe serverele lor.

* Cu toate acestea, nu uitați că orice sistem care poate fi accesat de un utilizator autorizat poate fi accesat de un utilizator neautorizat. Unele sisteme sunt mai ușor de întrerupt decât altele, dar nici una nu este sigură ... Cu toate acestea, cred că voi avea încredere în Google și în milioane de clienți pe sistemele de securitate, față de orice altă soluție de stocare a parolelor. Și, naiba, sunt un tâmpit, ar fi mai ușor să învingi parolele decât să rup criptarea Google.

** De asemenea, presupun că nu există o persoană care lucrează pentru ca Google să aibă acces la mașina dvs. locală. În acest caz, sunteți înșelat, însă ocuparea forței de muncă la Google nu este de fapt un factor. Moral: Hit Win + L înainte de a părăsi mașina.

În timp ce suntem de acord cu zeel că este un pariu destul de sigur (atâta timp cât computerul nu este compromis) că parolele dvs. sunt de fapt sigure în timp ce sunt stocate în Chrome, preferăm să cripteze toate datele de conectare și parolele într-o sală LastPass.

Aveți ceva de adăugat la explicație? Sunați în comentariile. Doriți să citiți mai multe răspunsuri de la alți utilizatori de tehnologie Stack Exchange? Check out discuția completă aici.