Стоит ли сохранять пароли в браузерах

[xatkaru]

В комментариях к моему постингу про (предполагаемый) взлом облачного сервиса хранения паролей LastPass, были вопросы о том, насколько можно доверять паролям, сохраняемым локально в браузере

Comments

[hvostat_hvostat]

Кстати!

Я таки поднял свою задницу и купил Yubikey 5 NFС.

[xatkaru]

Ну и как опыт использования?

[hvostat_hvostat]

Слушай, КАЙФ!

Реально, магия:

Введите пароль:
*****
Ага, а теперь ткните на кнопку на Юбикее
[тык]

Готово, вы авторизованы!

+ оно ж еще и NFC-шное.
Ставишь родную приложульку на айфон и уруру.

Да, отдельно подчеркну.
ИХ_НАДО_ДВА.

Если про....ть каким-либо образом ключик - то увлекательные приключения обеспечены.

[hvostat_hvostat]

И, да.

KeePass чрезвычайно хорош тем, что умеет создавать композитный ключ.

Пароль + мастер-ключ файл.

[jackindeed]

ну при оффлайн атаках к фс по идее все плохо, и хеш можно снять и пароли сбросить, и файлы подменить итп.

вроде даже билл гейтс говорил что при произвольном доступе к файловой системе все печально.

думаю, заведут какойнить Give COIN который будут выплачивать любителям помайнить в пулах вместо рассчета хешей - для расшифровки - и все что угодно можно будет подбирать при неограниченном количестве попыток и распараллеливании

[xatkaru]

Так вопрос же не в 100% защите, а в том, чтобы усложнить злоумышленнику жизнь, чтобы он ушёл искать себе жертву попроще.
В этом плане KeePass предпочтительнее встроенного функционала хрома или фф.

[jackindeed]

да, тут возразить нечего

[donz_ru]

Хм... Спасибо.
Ничего ценного хрому сохранять не позволяю, конечно. Но вот уж не думал, что в гугле так рукожопно отнесутся к такой критичной функциональности. Тем более, что сделать не через жопу вроде как не то, чтобы слишком сложно.
При этом меня хром заставляет пароль вводить, чтобы пароли показать! Проще этой фиговиной пользоваться :) Хотя она на двадцатом сломалась.

[morfizm]

Мне всегда казалось, что в операционке есть (должен быть) механизм этакого protected/encrypted per-user storage, шифруемого ключём, завязанным на пароль на логин. Тогда этот ключ не надо нигде сохранять, его достаточно генерить при логине и держать в RAM, где-то в kernel, и все "сохранённые пароли" приложений должны использовать этот storage.

Очень-очень удивлён, почему это не так.

[xatkaru]

До того, как MS заменила IE на Edge (который, по сути, Chromium), сохраненные пароли защищались DPAPI, и это практически то, что вы сейчас описали.
Но это была старая технология, еще со времен Win2k, и у нее уже нашли кучу багов, которые периодически всплывают даже в Win10

https://book.hacktricks.xyz/windows/windows-local-privilege-escalation/dpapi-extracting-passwords
https://miloserdov.org/?p=4205

В MacOS аналогом является keyring/keychain, но многие браузеры игнорируют эту технологию

Под линуксом есть, например, GNOME Keyring, но из-за отсутствия стандартизации тоже мало кто ее использует

[morfizm]

Вот дерьмо :(

Спасибо!

Займусь теперь тем, чтобы друзей и родственников отучать от паролей в браузерах и пересаживать на password managers. Я-то сам уже давно это сделал, но чисто на интуиции - не было убедительного аргумента, чтобы обосновать необходимость для окружающих.