5Jul

Kako varna so vaša shranjena gesla za Internet Explorer?

Ena izmed najprimernejših ponudb brskalnikov je zmožnost shranjevanja in samodejno prednastavljanje gesel v prijavnih obrazcih. Ker toliko strani zahtevajo račune in je dobro znano( ali bi moralo biti vsaj), da je uporaba gesel v skupni rabi velika ne-ne, upravitelj gesel je skoraj nujno.

Če ste uporabnik IE in odgovorite z »da«, da brskalniku omogočite, da si zapomni vaše geslo, kako varni so ti podatki?

Kje so shranjeni?

Od Internet Explorerja 7 se geslo shrani v sistemski register( KEY_CURRENT_USER \ Software \ Microsoft \ Internet Explorer \ IntelliForms \ Storage2) in se šifrira z uporabniškim geslom uporabnika uporabnika z uporabo API-ja za zaščito podatkov, ki uporablja šifriranje Triple DES.

Kako varni so ti podatki?

V času tega pisanja je Triple DES praktično neprekinjen z metodami z metodami brute sile. Vendar pa v resnici ni potrebe, da bi šifrirno ščitili račun, ko ste prijavljeni v račun Windows, v katerem so shranjeni podatki o geslu, ko Windows predpostavlja, da so programi, ko se prijavite, varni za aplikacije za dostop do teh podatkov. Zaradi IE, ki ne uporablja glavnega gesla( na primer, kaj ponuja Firefox) za zaščito shranjenih gesel, je ustrezno geslo za Windows ključ za dešifriranje Triple DES.

Preprosto povedano, če se lahko prijavite v Windows z računom in geslom, si lahko ogledate shranjena gesla brskalnika. Z uporabo prosto dostopnega pripomočka, kot je IE PassView NirSoft, si lahko ogledate in izvozite vsako shranjeno IE geslo.

Torej lahko zlonamerno programsko opremo dostopa do tega?

Po tem, ko je videti, kako enostavno je priti do teh podatkov, je naslednje logično vprašanje, ali zlonamerna programska oprema zlahka pride do teh podatkov. Nisem razvijalec zlonamerne programske opreme, vendar ne vidim razloga, da ne bi mogel.Če skenirate pripomoček IE PassView z uporabo Virus Total, lahko vidite, da je 55% optičnih bralnikov, ki jih uporabljajo, odkriti, da je zlonamerna programska oprema( eden je varnostni elementi Essentials).

Medtem ko je v našem primeru rezultat lažno pozitiven, to kaže, da lahko zlonamerni program dostopa do teh podatkov, ki niso zaznan, tudi če sistem zažene protivirusni program. Poleg tega, ker so šifrirani podatki specifični za uporabnika, aplikacija, ki poskuša dostopati do teh podatkov, ne sproži poziv UAC.Preden mislite, da je to napaka v operacijskem sistemu, to je res tako, kot mora biti drugače IE in množica drugih programov Windows, ki uporabljajo zaščiteno shrambo, bi sprožili poziv UAC vsakič, ko se odprejo.

Kaj, če je moj računalnik ukraden?

Preprost odgovor je, da so ti podatki tako varni kot geslo za račun za Windows. Kot smo prikazali zgoraj, ko se prijavite v račun z ustreznim geslom, so vsi ti podatki lahko dostopni.Če ne uporabljate gesla, nimate nobene zaščite.

Če želim narediti korak naprej, sem ponastavil geslo za račun in ugotovil, kaj se bo zgodilo, ko je bilo geslo prisilno spremenjeno zunaj sistema Windows. Po ponastavitvi sem shranil novo geslo naslova za Gmail( blah @) in zagnal IE PassView. Videl sem prejšnje uporabniško ime( myemail @), ki je bilo shranjeno pred ponastavitvijo gesla, ker pa so gesla za račun( tj. "Glavno geslo"), ki se uporabljajo za shranjevanje podatkov, drugačne, ni bilo mogoče dešifrirati IEgeslo, shranjeno pod prejšnjim geslom za račun Windows. To je vsekakor dobra stvar.

Zaključek

Na koncu dneva je varnost vaših shranjenih gesel IE odvisna od uporabnika:

  • Uporabite zelo močno geslo za Windows. Upoštevajte, da obstajajo pripomočki, ki lahko razširijo gesla za Windows.Če nekdo dobi geslo za račun za Windows, potem imajo dostop do shranjenih IE gesel.
  • Zaščitite pred zlonamerno programsko opremo.Če lahko pripomočki enostavno dostopajo do shranjenih gesel, zakaj ne morejo zlonamerne programske opreme?
  • Shranite gesla v sistemu za upravljanje gesel, kot je KeePass. Seveda izgubite udobje, da brskalnik samodejno izpolni geslo.
  • Uporabite pripomoček tretje stranke, ki se integrira z IE in uporablja glavno geslo za upravljanje gesel.
  • Encrypt vaš celoten trdi disk z uporabo TrueCrypt. To je popolnoma neobvezno in za ultra zaščito, vendar če nekdo ne more dešifrirati vašega pogona, lahko zagotovo dobijo vse od tega.

Seveda oba ne govorita, to pa samo poveča pomen sprejemanja ukrepov za zagotovitev varnosti vašega sistema.

Prenesite IE PassView iz NirSoft