Все чаще становится так, что многим расширениям и плагинам браузера требуется доступ ко «всем моим данным» (как в Chrome, так и в Firefox; я не буду комментировать Internet Explorer).

Мне интересно, могут ли эти плагины и надстройки получить доступ к моим банковским данным (например), когда я их посещаю, или получить доступ к данным, отправленным через формы.

Каковы последствия безопасности аддонов?

Этот пост относится только к Firefox и Chromium / Google Chrome. Я не могу комментировать Internet Explorer, Opera или мобильные браузеры. Кроме того, моя математика ниже может быть неправильной, но основная идея верна.

Конечно, это возможно, однако, в случае Firefox и Chrome / Chromium, маловероятно.

Безопасны ли мои пароли (которые хранятся в браузере)?

Этот ответ один из моих любимых: зависит. Пароли, которые сохраняются браузером, должны соответствовать одному важному, и с точки зрения безопасности, кошмарному условию: они должны быть в открытом виде или обратимы в открытый текст.

Открытый текст против зашифрованных против хэшированных

Почему это плохо? Хорошо, представьте, что кто-то взломал сервер и украл базу паролей. Есть два возможных результата:

1. Пароли являются открытым текстом (или легко обратимыми), поэтому взломщик теперь имеет полный доступ ко всем учетным записям.
2. Пароли хешируются (или шифруются), для получения паролей и доступа к учетным записям потребуется грубая атака на хэши. Даже теперь, когда ваше имя пользователя и пароль украдены, ваша учетная запись все еще в безопасности.

Поскольку браузер должен иметь возможность отправлять пароль на веб-сайты, он не может хэшировать пароли, он может только зашифровать их (или даже сохранить их в виде открытого текста). Об этом всегда следует помнить (то же самое касается почтовых клиентов, приложений чата и т. Д.).

То, что он зашифрован, не означает, что он безопасен

Firefox по умолчанию позволяет сохранять пароли. Это также шифрует их . То же самое относится и к хрому (см. Приложение «Ну, это зависит ...» ). Проблема в том, что ключ для расшифровки также хранится с паролями. Это делает шифрование незначительным неудобством для тех, кто хочет получить ваши пароли и не может их остановить.

Тогда не храните ключ с паролями!

Это верно, чтобы сделать пароли более безопасными , нам нужно убрать ключ от зашифрованных паролей. Это делается в Firefox путем установки мастер-пароля , который затем используется для шифрования и дешифрования всех ваших паролей. Используя эту технику, вы отделяете ключ от зашифрованных данных, что всегда является хорошей идеей (в конце концов, вы не держите ключ от входной двери на крюке перед дверью снаружи, верно?).

Пароли настолько безопасны, насколько вы их делаете

Итак, почему я сказал ранее, что ваши пароли теперь безопаснее и небезопаснее ? Потому что теперь безопасность ваших паролей зависит от выбранного вами пароля. То есть пароль «asdf» ни в коем случае нельзя считать безопасным; ни один не "12345". Хорошие пароли длинные , потому что их перебор занимает значительное время. Пароль "VioletIsAnotherColor" технически более безопасен, чем "D0! L4riZe", из-за его длины, несмотря на то, что второй содержит специальные символы. Давайте кратко рассмотрим это.

"VioletIsAnotherColor"
Длина: 20
Возможных символов: 52 (26 строчных + 26 прописных)

"D0! L4riZe"
Длина: 9
Возможных символов: 77 (26 нижних + 26 верхних + 10 цифр + 15 специальных)
Специальные:! "@ $% & / () =? * + # -

Итак, сколько попыток нам нужно взломать эти пароли, зная их набор символов и длину?

"VioletIsAnotherColor"
52 ²⁰ = ~ 20 дециллионов (~ 2 × 10 ³⁴ )

«D0! L4riZe»
77 ⁹ = ~ 95 квадриллионов (~ 9 × 10 ¹⁶ )

Как мы видим, последний пароль, несмотря на более широкий набор символов, проще перебор, чем длинный пароль с его ограниченным набором. Это из-за длины. (Другим положительным моментом является то, что первый легче запомнить.) Подробности см. В этом вопросе по информационной безопасности.

Поэтому, если возможно, используйте пароль, а не пароль .

Вернемся к теме, насколько безопасны мои пароли от спуфинга?

Они не. Это потому, что аддоны имеют доступ к сайту, который вы только что посетили. Они могут извлечь из него информацию, в том числе введенные пароли. Аддоны представляют собой угрозу безопасности, как и любое другое установленное программное обеспечение. Устанавливайте только те дополнения, которым доверяете.

Большой! Откуда я это знаю?

Устанавливайте только дополнения из источников, которым вы доверяете. Для Firefox это страница AddOns, а для Chromium это Интернет-магазин Chrome или, если вы доверяете автору / распространителю. Оба гарантируют, что Аддоны проверены и безопасны.

Ни страница надстроек Mozilla, ни Chrome Web Store никоим образом не гарантируют безопасность аддона. Они используют автоматизированные процессы проверки, которые могут или могут поймать вредоносные дополнения. В конце дня все еще остается риск.

Устанавливайте дополнения только из тех источников, которым вы доверяете.

Подождите минутку; Вы только что упомянули другое установленное программное обеспечение?

Конечно! Ничто не мешает другому установленному программному обеспечению захватывать ваши пароли из браузера, выполнять атаки типа «человек посередине» или даже обслуживать прокси-сервер, который подделывает ваши банковские сайты. То же самое касается плагинов для браузера. Практическое правило: не устанавливайте программное обеспечение, которому вы не можете доверять.

Вывод

Что вы должны от этого отнять?

• Никогда не устанавливайте программное обеспечение / плагины / дополнения, которым вы не доверяете.
• Если вы все еще сомневаетесь, установите мастер-пароль.
• Если вы все еще сомневаетесь, не доверяйте своему браузеру пароли, никогда не сохраняйте их.
• Если вы все еще сомневаетесь, никогда не устанавливайте дополнения / плагины.
• Если вы все еще сомневаетесь, используйте работающую систему , которая не может быть подделана.

Приложение: «Ну, это зависит ...»

Как я узнал, мои предположения в этом параграфе не на 100% верны, и я бы хотел это исправить. Следующая информация относится только к хранению паролей на диске.

Google Chrome / Chromium

На самом деле он сохраняет ваши пароли безопасным способом на диске, в зависимости от операционной системы, на которой он работает:

Майкрософт Виндоус

Microsoft Windows API CryptProtectData/ CryptUnprotectDataиспользуется для шифрования / дешифрования пароля. Этот API работает с паролем вашей учетной записи в ОС, поэтому он безопасен настолько, насколько этот пароль

MacOS

Слой для MacOS генерирует случайный ключ на основе пароля цепочки для ключей текущего пользователя и добавляет этот ключ в цепочку для ключей. Опять же, это только так же безопасно, как пароль пользователя.

Linux

Ну ... давай не будем об этом.

Хорошо, если вам нужно знать, он делает именно то, что я предполагал: он хранит данные с жестко заданным паролем. Почему это так? Просто потому, что не существует общей инфраструктуры для обработки зашифрованных данных таким образом, чтобы они передавались в две другие системы. Нет, я не просто сказал, что в Linux нет систем шифрования или безопасности; Есть много ключей / брелок для ключей и решений для хранения паролей , доступных в пользовательском пространстве . Как кажется, разработчики Chrome решили не использовать один из них. "Зачем?" это не вопрос, на который я могу ответить.

Fire Fox

Всегда использует сгенерированный ключ, который хранится вместе с паролями. Исключением является то, что если вы установите мастер-пароль, он также будет использоваться.