Esta postagem se aplica apenas ao Firefox e Chromium / Google Chrome. Não posso comentar no Internet Explorer, Opera ou navegadores móveis. Além disso, minha matemática mais abaixo pode estar errada, mas a idéia básica está correta.
Claro que isso é possível, no caso do Firefox e Chrome / Chromium, improvável.
Minhas senhas (que estão armazenadas no navegador) são seguras?
Esta resposta é uma das minhas favoritas: depende. As senhas salvas pelo navegador precisam cumprir uma condição importante e, do ponto de vista da segurança, pesadelo, condição: elas precisam ser de texto sem formatação ou reversíveis para texto sem formatação.
Texto sem formatação x criptografado x hash
Por que isso é ruim? Bem, imagine que alguém invade um servidor e rouba o banco de dados de senhas. Existem dois resultados possíveis:
- As senhas são de texto simples (ou facilmente reversíveis); portanto, o cracker agora tem acesso total a todas as contas.
- As senhas são hash (ou criptografadas), um ataque de força bruta contra os hashes seria necessário para obter as senhas e acessar as contas. Mesmo agora que seu nome de usuário e senha foram roubados, sua conta ainda está segura.
Como o navegador precisa enviar a senha aos sites, ele não pode usar senhas de hash , ele pode apenas criptografá- las (ou até armazená-las como texto sem formatação). Isso é algo que sempre se deve ter em mente (o mesmo vale para clientes de email, aplicativos de bate-papo etc.).
Só porque é criptografado, não significa que é seguro
O Firefox, por padrão, permite salvar senhas. Também os criptografa . O mesmo se aplica ao Chromium (consulte o adendo "Bem, isso depende ..." ). O problema é que a chave para descriptografia também é armazenada com as senhas. Isso torna a criptografia um pequeno inconveniente para quem deseja suas senhas e não as impede de forma alguma.
Então não guarde a chave com as senhas!
É isso mesmo, para tornar as senhas mais seguras , precisamos afastar a chave das senhas criptografadas. Isso é feito no Firefox, definindo uma senha mestra , que é usada para criptografar e descriptografar todas as suas senhas. Ao usar essa técnica, você separa a chave dos dados criptografados, o que é sempre uma boa idéia (afinal, você não mantém a chave da porta da frente em um gancho na frente da porta do lado de fora, certo?).
As senhas são tão seguras quanto você as cria
Então, por que eu disse anteriormente que suas senhas agora são mais seguras e não seguras ? Porque agora a segurança de suas senhas depende da senha que você escolheu. Ou seja, a senha "asdf" não deve ser considerada segura de forma alguma; nem é "12345". As boas senhas são longas , porque forçá- las brutalmente leva um tempo considerável. A senha "VioletIsAnotherColor" é tecnicamente mais segura que "D0! L4riZe" devido ao seu tamanho, apesar do segundo conter caracteres especiais. Vamos dar uma breve olhada nisso.
"VioletIsAnotherColor" Cumprimento
: 20
Caracteres possíveis: 52 (26 minúsculas + 26 maiúsculas)
"D0! L4riZe"
Duração: 9
caracteres possíveis: 77 (26 inferiores + 26 superiores + 10 dígitos + 15 especiais)
Especiais :! " @ $% & / () =? * + # -
Então, quantas tentativas precisamos quebrar essas senhas, sabendo seus conjuntos de caracteres e comprimento?
"VioletIsAnotherColor"
52 20 = ~ 20 decilhões (~ 2 × 10 34 )
"D0! L4riZe"
77 9 = ~ 95 quadrilhões (~ 9 × 10 16 )
Como vemos, a última senha, apesar do conjunto de caracteres mais amplo, é mais fácil de usar força bruta do que a senha longa com seu conjunto limitado. Isso é por causa do comprimento. (Outra vantagem é que a primeira é mais fácil de lembrar.) Consulte esta pergunta sobre segurança de TI para obter detalhes sobre o assunto.
Portanto, se possível, use uma senha, não uma senha .
De volta ao tópico, quão seguras são minhas senhas de um complemento de falsificação?
Eles não são. Isso ocorre porque os addons têm acesso ao site que você acabou de visitar. Eles podem extrair informações dele, incluindo senhas inseridas. Complementos são um risco de segurança como qualquer outro software instalado. Instale apenas complementos nos quais você confia.
Ótimo! Como eu sei disso?
Instale apenas complementos de fontes confiáveis. Para o Firefox, é a página AddOns e, para o Chromium, é a Chrome Web Store , ou se você confia no autor / distribuidor. Ambos garantem que os AddOns sejam verificados e seguros.
Nem a página Mozilla AddOns nem a Chrome Web Store garantem de forma alguma que o complemento seja seguro. Eles empregam processos de revisão automatizados que podem ou podem pegar complementos maliciosos. No final do dia, ainda existe um risco.
Só instale complementos de fontes que você confia.
Espere um momento; você acabou de mencionar outro software instalado?
Claro! Nada impede que outro software instalado pegue suas senhas no navegador, realize ataques intermediários ou atenda a um proxy que falsifica seus sites bancários. O mesmo vale para os plugins do navegador. A regra geral é: Não instale software em que você não possa confiar.
Conclusão
O que você deve tirar disso?
- Nunca instale softwares / plugins / complementos nos quais você não confia.
- Se você ainda estiver em dúvida, defina uma senha mestra.
- Se ainda estiver em dúvida, não confie no seu navegador com senhas, nunca as salve.
- Se ainda estiver em dúvida, nunca instale nenhum complemento / plug-in.
- Se ainda estiver em dúvida, use um sistema ativo , que não possa ser violado.
Adendo: "Bem, isso depende ..."
Como cheguei a aprender, minhas suposições neste parágrafo não são 100% corretas e eu gostaria de corrigir isso. As informações a seguir se aplicam apenas ao armazenamento das senhas no disco.
Google Chrome / Chromium
Na verdade, ele salva suas senhas de maneira segura no disco, dependendo do sistema operacional em que está sendo executado:
Microsoft Windows
A API do Microsoft Windows CryptProtectData/ CryptUnprotectDataé usada para criptografar / descriptografar a senha. Essa API funciona com a senha da sua conta do SO, portanto, é tão segura quanto essa senha.
Mac OS
A camada para MacOS gera uma chave aleatória com base na senha do chaveiro do usuário atual e adiciona essa chave ao chaveiro. Novamente, isso é tão seguro quanto a senha do usuário.
Linux
Bem ... não vamos falar sobre isso.
Ok, se você precisa saber, ele faz exatamente o que eu assumi: armazena os dados com uma senha codificada. Por que esse é o caso? Simplesmente porque não existe uma infraestrutura comum para lidar com dados criptografados de maneira que os outros dois sistemas. Não, eu não disse apenas que o Linux não possui sistemas de criptografia ou segurança; existem muitas soluções de armazenamento de chaveiro / chaveiro e senha disponíveis no espaço do usuário . Ao que parece, os desenvolvedores do Chrome decidiram não usar um deles. "Por quê?" Não é uma pergunta que eu possa responder.
Raposa de fogo
Sempre usa uma chave gerada que é armazenada ao lado das senhas. A exceção é que se você definir uma senha mestra, ela também será usada.
VioletIsAnotherColorvsD0!l4riZepara a força da senha. O primeiro tecnicamente é mais forte ... quando você está usando um ataque de força bruta . No entanto, outro tipo de ataque é o ataque do dicionário , pelo qual o invasor passa metodicamente, em vez de letras e números aleatórios, palavras no dicionário e combinações dessas palavras.VioletIsAnotherColorpoderia ser quebrado dentro de ~ 1,2 bilhões de possibilidades. Apenas para ser técnico e tudo, mas vale a pena notar. (+1 de qualquer maneira, btw) :)