คุณดูเหมือนจะสงสัยโดยเฉพาะเกี่ยวกับคีย์ที่ใช้ในการเข้ารหัสรหัสผ่านใน Chrome
คำตอบคือ:
รหัสผ่านทุกรหัสจะถูกเข้ารหัสด้วยรหัสสุ่มที่แตกต่างกัน
จากนั้นรหัสผ่านที่เข้ารหัสจะถูกเก็บไว้ในไฟล์ฐานข้อมูล SQLite:
%LocalAppData%\Google\Chrome\User Data\Default\Login Data
คุณสามารถใช้เบราว์เซอร์ฐานข้อมูลSQLiteหรือSQLite Maestroเพื่อดูได้ นี่เป็นตัวอย่างจากLogin Dataไฟล์ของฉัน:
origin_url username_value password_value
======================================== ============== ========================
http://thepiratebay.org/register JolineBlomqvist@example.com 01000000D08C9DDF0115D1118C7A00C04FC297EB01000000BB0E1F4548ADC84A82EC0873552BCB460000000002000000000003660000C0000000100000006811169334524F33D880DE0C842B9BBB0000000004800000A00000001000000043C8E23979F5CC5499D73610B969A92A08000000EE07953DEC9F7CA01400000098B5F0F01E35B0DC6BBAFC53A9B1254AC999F4FA
คุณจะสังเกตเห็นว่ารหัสผ่านเป็นหยดข้อมูลที่เข้ารหัส อัลกอริทึมโดยประมาณเพื่อเข้ารหัสรหัสผ่านใหม่คือ:
- สร้างคีย์เซสชันแบบสุ่มใหม่
- เข้ารหัสรหัสผ่านด้วยคีย์เซสชัน
- เข้ารหัสรหัสเซสชันด้วยรหัสสาธารณะ RSA ของผู้ใช้
- สร้าง Message Authentication Code (HMAC) สำหรับข้อมูลที่เข้ารหัส
- ต่อเชื่อมเซสชันคีย์เข้ารหัสรหัสผ่านที่เข้ารหัสและ MAC
และ Chrome จะบันทึกหยดนั้นลงในฐานข้อมูล SQLite
แต่เพื่อตอบคำถามของคุณ: รหัสการเข้ารหัสมาจากที่ใด
รหัสผ่านแต่ละรหัสจะถูกเข้ารหัสด้วยรหัสที่สร้างแบบสุ่มแตกต่างกัน
รายละเอียดทางเทคนิค
แน่นอนฉันทิ้งรายละเอียดทางเทคนิค Chrome ไม่ได้เข้ารหัสรหัสผ่านของคุณเอง Chrome ไม่มีคีย์หลักที่ใช้ในการเข้ารหัสอะไร Chrome ไม่ทำการเข้ารหัส Windows ทำ
มีฟังก์ชั่น Windows CryptProtectDataซึ่งใช้ในการเข้ารหัสข้อมูลใด ๆ ที่คุณต้องการ รายละเอียดของการโทรมันมีความสำคัญน้อยกว่า แต่ถ้าฉันประดิษฐ์ภาษาหลอกที่ค่อนข้างสามารถถอดรหัสได้ในขณะที่การเขียนโปรแกรมไม่ทำงานสาย Chrome จะเรียก:
CryptProtectData(
{ cbData: 28, pbData: "correct battery horse staple" },
"The password for superuser.com and all the glee therein",
null, //optional entropy
null, //reserved
null, //prompt options
0, //flags
{ cbData: pbData: }); //where the encrypted data will go
ดังนั้นรหัสผ่าน:
- ข้อความธรรมดา :
correct battery horse staple
- เข้ารหัสแล้ว :
01000000D08C9DDF0115D1118C7A00C04FC297EB01000000BB0E1F4548ADC84A82EC0873552BCB460000000002000000000003660000C0000000100000006811169334524F33D880DE0C842B9BBB0000000004800000A00000001000000043C8E23979F5CC5499D73610B969A92A08000000EE07953DEC9F7CA01400000098B5F0F01E35B0DC6BBAFC53A9B1254AC999F4FA
คุณจะสังเกตเห็นว่าฉันไม่จำเป็นต้องให้รหัสผ่าน นั่นเป็นเพราะ Windows ดูแลทุกอย่าง ในที่สุด:
- รหัสผ่านแบบสุ่มถูกสร้างขึ้นเพื่อเข้ารหัสรหัสผ่าน
- รหัสผ่านนั้นถูกเข้ารหัสด้วยรหัสผ่านแบบสุ่ม
- รหัสผ่านนั้นถูกเข้ารหัสด้วยรหัสผ่าน Windows ของคุณ
ดังนั้นวิธีเดียวที่ใครบางคนจะรู้รหัสผ่านของคุณคือถ้าพวกเขารู้รหัสผ่านของคุณ