Używam Chrome (i Chrome Sync) od wielu lat. Czy to oznacza, że Google, właściciel Chrome, zna wszystkie moje hasła?
Pytam, bo zdałem sobie sprawę, że Google jest właścicielem Chrome, a także jest to przeglądarka z zamkniętym źródłem, co oznacza, że może istnieć jakiś backdoor, który pozwala przeglądarce na zbieranie moich haseł.
Czy to samo dotyczy Firefoksa?
google-chrome
security
passwords
privacy
Selin Peck
źródło
źródło
Odpowiedzi:
Krótka odpowiedź, tak. Jeśli synchronizacja jest włączona i zdecydujesz się zapisać hasło, zostanie ono wysłane na serwery Google. To powiedziawszy, dane są szyfrowane, a dostęp do nich jest ograniczony.
Domyślnie Google szyfruje zsynchronizowane dane przy użyciu poświadczeń konta . Google wskazuje, że tych danych nie można odszyfrować bez znajomości hasła, i że w rzeczywistości, gdy zmienią się twoje dane uwierzytelniające, wszystkie zsynchronizowane dane muszą zostać usunięte z ich systemów, a następnie mogą być ponownie zsynchronizowane z twoich urządzeń (a proces ten jest ponownie zaszyfrowane przy użyciu nowych poświadczeń).
Tak więc, jeśli wszystko działa poprawnie, samemu Google można zaufać, a infrastruktura Google jest wystarczająco bezpieczna, aby powstrzymać zainteresowane strony trzecie (czytaj NSA, hakerów kryminalnych itp.), A następnie Twoje dane są bezpieczne. To powiedziawszy jednak, Google nadal ma możliwość odszyfrowania twoich danych, chociaż tego nie ujawniają. Jest to po prostu wynikiem tego, że są oni uczestnikami tworzenia klucza szyfrowego (twoich danych uwierzytelniających), pozostawiając im możliwość zapisania i potencjalnego niewłaściwego użycia kluczy.
Ten poziom zaufania jest większy niż chciałbym w nich pokładać, więc w tej sytuacji wolałbym nie zapisywać haseł ani synchronizować danych z ich usługami, ale to tylko moje preferencje. Tylko głupiec ufa wszystkim, ale tylko większy głupiec nie ufa nikomu.
źródło
To zależy od ustawień szyfrowania .
Dzięki tej opcji Google ma dostęp do twoich danych.
Dzięki tej opcji Google nie ma dostępu do twoich danych, zakładając, że są one uczciwe w kwestii tego, co dzieje się z Twoim hasłem (co się stanie, jeśli zapomnisz swoje hasło, oznacza, że nie przechowują go dla Twojej korzyści), nie mają niektóre luki (lub backdoor) w zabezpieczeniach synchronizacji, a twoje hasło jest wystarczająco bezpieczne, aby wytrzymać próbę brutalnej siły ze strony Google (takie hasło jest możliwe, ale bardzo nietypowe).
Możesz ograniczyć możliwość przechwytywania haseł przez Google, używając menedżera haseł offline, takiego jak KeePass, w połączeniu z Chrome jako przeglądarką. Możesz całkowicie usunąć tę możliwość, nie używając już produktów Google (a jeśli naprawdę zawierają keyloggera z Dyskiem Google lub Chrome? A w Gmailu żądania resetowania hasła mogą zostać przechwycone w taki czy inny sposób, co może skutkować dostępem Google do Twoich kont, nawet jeśli hasła nie da się złamać).
W przeglądarce Firefox bezpieczeństwo danych zależy od tego, jak bezpieczne jest twoje hasło do konta Firefox. Jeśli wybierzesz dobre hasło, Mozilla lub ktokolwiek powinien mieć dostęp do twoich haseł. Jednakże zakłada to, że Mozilla szczerze mówi o tym, jak działa system, i że nie ma luki w zabezpieczeniach (backdoor). Możesz dodać dodatkową miarę bezpieczeństwa, uruchamiając własny prywatny serwer synchronizacji zamiast korzystać z Mozilli. Ponieważ Firefox jest oprogramowaniem typu open source, a Mozilla ma lepsze osiągnięcia w zakresie prywatności niż Google , prawdopodobieństwo, że spróbują narazić twoje dane, wydaje się znacznie niższe.
Wybierz poziom paranoi, jak chcesz i na podstawie swoich potrzeb. Nie używałbym niczego Google do potrzeb na poziomie Snowdena, ale do zwykłej prywatności potrzebowałbym przynajmniej hasła w Google Sync (aby atakujący uzyskujący dostęp do Twojego konta Google miał inną warstwę do przejścia, zanim ma twoje hasła).
Pamiętaj też, że wszystko to wychodzi z okna, jeśli komuś uda się zainstalować keylogger (może być uzupełniony skrobaczką do ekranu i rejestratorem kliknięć myszką do walki z klawiaturami ekranowymi) na komputerze.
źródło
Twoja paranoja jest dobrze uzasadniona. Tak, Google może uzyskać dostęp do twoich haseł. Jest to nawet prawdą, jeśli zdefiniowałeś niestandardowe hasło, chyba że jest ono naprawdę losowe, a nie typowe hasło wybrane przez człowieka. Powodem jest to, że podejście stosowane przez Chrome do konwersji tego hasła na klucz szyfrowania (PBKDF2-HMAC-SHA1 wykona 1003 iteracje) jest absurdalnie proste do brutalnego użycia. Nie wymaga zasobów Google, każdy, kto chce zainwestować mniej niż 1000 USD w kartę graficzną, może odgadnąć większość haseł w ciągu kilku dni. Obecna implementacja nawet nie ustawia zmiennej soli, co pozwala zgadywać hasła dla wszystkich kont równolegle.
Obecna implementacja Firefox Sync jest znacznie lepsza. Każdy, kto tylko uzyskuje dostęp do danych na serwerze, nie będzie w stanie wiele z tym zrobić, ochrona jest rozsądna. Składnik tej ochrony po stronie klienta jest jednak obecnie nieoptymalny (PBKDF2-HMAC-SHA256 z 1000 iteracjami), więc każdy, kto jest w stanie przechwycić skrót hasła wysyłany do serwera, będzie mógł odgadnąć twoje hasło w porównywalny sposób mały wysiłek.
Dodatkowe informacje:
źródło