มันกลายเป็นกรณีที่ส่วนขยายและปลั๊กอินของเบราว์เซอร์จำนวนมากต้องการการเข้าถึง "ข้อมูลของฉันทั้งหมด" (ทั้งใน Chrome และ Firefox; ฉันจะไม่แสดงความคิดเห็นบน Internet Explorer)
ฉันสงสัยว่ามันเป็นไปได้สำหรับปลั๊กอินและส่วนเสริมเหล่านี้ในการเข้าถึงข้อมูลธนาคารของฉัน (ตัวอย่าง) เมื่อฉันเยี่ยมชมหรือเข้าถึงข้อมูลที่ส่งผ่านแบบฟอร์ม
ความหมายของความปลอดภัยของแอดออนคืออะไร?
คำตอบ:
โพสต์นี้ใช้กับ Firefox และ Chromium / Google Chrome เท่านั้น ฉันไม่สามารถแสดงความคิดเห็นใน Internet Explorer, Opera หรือเบราว์เซอร์มือถือ ยิ่งไปกว่านั้นคณิตศาสตร์ของฉันอาจผิดไปด้วย แต่ความคิดพื้นฐานนั้นถูกต้อง
แน่นอนว่าเป็นไปได้ แต่ในกรณีของ Firefox และ Chrome / Chromium ไม่น่าเป็นไปได้
คำตอบนี้เป็นหนึ่งในรายการโปรดของฉัน: ขึ้นอยู่กับ รหัสผ่านที่เบราว์เซอร์บันทึกไว้จะต้องตอบสนองสิ่งสำคัญอย่างหนึ่งและจากมุมมองด้านความปลอดภัยฝันร้ายเงื่อนไข: พวกเขาต้องเป็นข้อความธรรมดาหรือย้อนกลับเป็นข้อความธรรมดา
เหตุใดจึงไม่ดี ลองนึกภาพใครบางคนบุกเข้าไปในเซิร์ฟเวอร์และขโมยฐานข้อมูลรหัสผ่าน มีสองผลลัพธ์ที่เป็นไปได้:
เนื่องจากเบราว์เซอร์จะต้องสามารถส่งรหัสผ่านไปยังเว็บไซต์จึงไม่สามารถแฮรหัสผ่านจึงสามารถเข้ารหัสได้เท่านั้น(หรือเก็บไว้เป็นข้อความธรรมดา) นี่คือสิ่งที่เราควรคำนึงถึงเสมอ (เช่นเดียวกันกับไคลเอนต์อีเมลแอปพลิเคชันการแชทและอื่น ๆ )
Firefox โดยค่าเริ่มต้นอนุญาตให้คุณบันทึกรหัสผ่าน นอกจากนี้ยังจะเข้ารหัสพวกเขา เช่นเดียวกับ Chromium (ดูภาคผนวก"ก็ขึ้นอยู่กับ ... " ) ปัญหานี้คือกุญแจสำคัญในการถอดรหัสจะถูกเก็บไว้ด้วยรหัสผ่าน วิธีนี้ทำให้การเข้ารหัสไม่สะดวกเล็กน้อยสำหรับคนที่ต้องการรหัสผ่านของคุณและไม่หยุดพวกเขาในทางใดทางหนึ่ง
ถูกต้องเพื่อให้รหัสผ่านปลอดภัยยิ่งขึ้นเราจำเป็นต้องเอากุญแจออกจากรหัสผ่านที่เข้ารหัส สิ่งนี้ทำได้ใน Firefox โดยการตั้งค่ารหัสผ่านหลักซึ่งจะใช้ในการเข้ารหัสและถอดรหัสรหัสผ่านทั้งหมดของคุณ ด้วยการใช้เทคนิคนี้คุณจะแยกกุญแจออกจากข้อมูลที่เข้ารหัสซึ่งเป็นความคิดที่ดีเสมอ (หลังจากนั้นคุณไม่ได้เก็บกุญแจประตูหน้าไว้ที่ตะขอด้านหน้าของประตูด้านนอกใช่ไหม)
ดังนั้นผมไม่บอกว่าทำไมก่อนหน้านี้ว่ารหัสผ่านของคุณอยู่ในขณะนี้ที่ปลอดภัยและไม่ปลอดภัย ? เพราะตอนนี้ความปลอดภัยของรหัสผ่านของคุณขึ้นอยู่กับรหัสผ่านที่คุณเลือก นั่นคือรหัสผ่าน "asdf" ไม่ควรถูกมองว่าปลอดภัย แต่อย่างใด ไม่ใช่ "12345" รหัสผ่านที่ดีนั้นยาวเพราะการบังคับให้เดรัจฉานใช้เวลานานพอสมควร รหัสผ่าน "VioletIsAnotherColor" มีความปลอดภัยทางเทคนิคมากกว่า "D0! l4riZe" เนื่องจากความยาวแม้ว่าที่สองจะมีอักขระพิเศษ ลองดูสั้น ๆ ว่า
"VioletIsAnotherColor"
ความยาว: 20
ตัวละครที่เป็นไปได้: 52 (26 ตัวพิมพ์เล็ก + 26 ตัวพิมพ์ใหญ่)"D0! l4riZe"
ความยาว: 9
ตัวละครที่เป็นไปได้: 77 (26 ต่ำกว่า + 26 สูง + 26 หลัก + 10 พิเศษ + 15 พิเศษ)
พิเศษ:! "@ $% & / () =? * + # -
ดังนั้นเราต้องพยายามแบ่งรหัสผ่านเหล่านี้กี่ครั้งเพื่อทราบชุดอักขระและความยาว
"VioletIsAnotherColor"
52 20 = ~ 20 decillion (~ 2 × 10 34 )"D0! l4riZe"
77 9 = ~ 95 quadrillion (~ 9 × 10 16 )
อย่างที่เราเห็นรหัสผ่านหลังแม้จะมีชุดอักขระที่กว้างกว่าก็ง่ายต่อการใช้กำลังดุร้ายกว่ารหัสที่มีความยาว จำกัด นี่เป็นเพราะความยาว (หัวกลับหางอีกอันหนึ่งคืออันแรกนั้นง่ายต่อการจดจำ) ดูคำถาม IT Security สำหรับรายละเอียดในเรื่องนี้
ดังนั้นถ้าเป็นไปได้ใช้รหัสผ่านไม่รหัสผ่าน
พวกเขาไม่. เนื่องจาก addons มีการเข้าถึงเว็บไซต์ที่คุณเพิ่งเยี่ยมชม พวกเขาสามารถดึงข้อมูลจากมันรวมถึงรหัสผ่านที่ป้อน Addons มีความเสี่ยงด้านความปลอดภัยเช่นซอฟต์แวร์ที่ติดตั้งอื่น ๆ ติดตั้งเฉพาะส่วนเสริมที่คุณไว้วางใจ
ติดตั้งส่วนเสริมเฉพาะจากแหล่งที่คุณเชื่อถือ สำหรับ Firefox เป็นหน้า AddOnsและ Chromium เป็นChrome เว็บสโตร์หรือหากคุณเชื่อถือผู้เขียน / ผู้จัดจำหน่าย รับประกันได้ว่า AddOns ทั้งสองจะถูกตรวจสอบและปลอดภัย
ไม่ว่าจะเป็นหน้า Mozilla AddOnsหรือChrome เว็บสโตร์รับประกันในทางที่ Addon นั้นปลอดภัย พวกเขาใช้กระบวนการตรวจสอบอัตโนมัติซึ่งอาจหรืออาจติดกับแอดออนที่เป็นอันตราย ในตอนท้ายของวันยังมีความเสี่ยงที่เหลืออยู่
ติดตั้งส่วนเสริมจากแหล่งที่คุณเชื่อถือเท่านั้น
แน่นอน! ไม่มีสิ่งใดขัดขวางซอฟต์แวร์ที่ติดตั้งอื่น ๆ จากการคว้ารหัสผ่านของคุณจากเบราว์เซอร์ทำการโจมตีแบบคนกลางหรือแม้กระทั่งให้บริการพร็อกซีที่ปลอมแปลงเว็บไซต์ธนาคารของคุณ เช่นเดียวกันกับ Browser Plugins กฎง่ายๆคือ: อย่าติดตั้งซอฟต์แวร์ที่คุณไม่สามารถเชื่อถือได้
คุณจะเอาอะไรไปจากสิ่งนี้
เมื่อฉันได้เรียนรู้สมมติฐานของฉันในวรรคนี้ไม่ถูกต้อง 100% และฉันต้องการแก้ไข ข้อมูลต่อไปนี้ใช้กับการจัดเก็บรหัสผ่านบนดิสก์เท่านั้น
มันจะบันทึกรหัสผ่านของคุณในลักษณะที่ปลอดภัยบนดิสก์ขึ้นอยู่กับระบบปฏิบัติการที่ทำงานอยู่:
Microsoft Windows API CryptProtectData/ CryptUnprotectDataใช้ในการเข้ารหัส / ถอดรหัสรหัสผ่าน API นี้ใช้งานได้กับรหัสผ่านบัญชี OS ของคุณดังนั้นจึงปลอดภัยเช่นเดียวกับรหัสผ่านนั้น
เลเยอร์สำหรับ MacOS สร้างคีย์สุ่มตามรหัสผ่านของพวงกุญแจของผู้ใช้ปัจจุบันและเพิ่มคีย์นั้นลงในพวงกุญแจ อีกครั้งนี้มีความปลอดภัยเท่ากับรหัสผ่านของผู้ใช้
อืม ... อย่าพูดถึงมัน
โอเคถ้าคุณต้องรู้มันก็ทำในสิ่งที่ฉันคิดเอาไว้: มันเก็บข้อมูลด้วยรหัสผ่านแบบฮาร์ดโค้ด เหตุใดจึงเป็นเช่นนี้ เพียงเพราะไม่มีโครงสร้างพื้นฐานทั่วไปในการจัดการข้อมูลที่เข้ารหัสในทางไปยังอีกสองระบบ ไม่ฉันไม่ได้พูดเพียงว่า Linux ขาดระบบการเข้ารหัสหรือความปลอดภัย มีมากมายของพวงกุญแจ / พวงกุญแจและที่เก็บรหัสผ่านโซลูชั่นที่มีอยู่ใน userspace ดูเหมือนว่านักพัฒนา Chrome ตัดสินใจที่จะไม่ใช้หนึ่งในนั้น "ทำไม?" ไม่ใช่คำถามที่ฉันสามารถตอบได้
ใช้รหัสที่สร้างขึ้นซึ่งเก็บไว้ข้างรหัสผ่านเสมอ ข้อยกเว้นคือถ้าคุณตั้งรหัสผ่านหลักแล้วจะใช้รหัสนี้เช่นกัน
VioletIsAnotherColorvs ของคุณD0!l4riZeสำหรับความแข็งแรงของรหัสผ่าน คนแรกในทางเทคนิคเป็นแข็งแกร่ง ... เมื่อคุณกำลังใช้การโจมตีแรงเดรัจฉาน อย่างไรก็ตามการโจมตีอีกประเภทหนึ่งคือการโจมตีด้วยพจนานุกรมซึ่งผู้โจมตีต้องดำเนินการอย่างเป็นระบบแทนที่จะใช้ตัวอักษรและตัวเลขสุ่มคำศัพท์ในพจนานุกรมและการรวมกันของคำเหล่านั้น VioletIsAnotherColorสามารถถอดรหัสได้ภายใน ~ 1.2 พันล้านความเป็นไปได้ เพียงเพื่อเป็นเทคนิคและทั้งหมด แต่ก็น่าสังเกต (+1 ต่อไป btw) :)