288
技術社區[雲棲]
淺析Chrome瀏覽器中保存密碼那些事兒
前不久，有網友在Hacker News提交了一個關於可以在Chrome瀏覽器“密碼管理器”查看已保存密碼的帖子，可能那位提交的網友之前不了解Chrome的這個特性及其背後的機製，導致這個貼子在Hacker News首頁停留的時間還不短。之後國內網友在微博上發布相關消息後，同樣引起不少討論（@ruanyf、@程序員的那些事）。很多之前不了解Chrome保存密碼機製的朋友驚唿 Chrome 坑爹。伯樂在線編譯了 howtogeek 網站上的一篇文章，應當可以解除這些朋友的疑問。
關於 Google Chrome 瀏覽器也有一個常見問題，“為什麼它沒有一個主密碼(master password)?” Google 支持論壇中有個非官方的回複，說了Google的立場：主密碼提供了一種虛假的安全感，保護敏感數據的最可行保護方式是要取決於係統的整體安全性。
那用戶在Chrome瀏覽器上保存的密碼的安全性有多高呢？請見下文。
如何查看已保存的密碼
Chrome 密碼管理器的進入方式：右側扳手圖標→設置→顯示高級設置→密碼和表單→管理已保存的密碼。或者直接在地址欄中複製粘貼：chrome://chrome/settings/passwords，然後回車進入。
如果你允許Chrome保存密碼，看到這個界麵應該沒什麼稀奇，或許你早已知道這個特性了。從昨晚微博轉發來看，很多用戶還是並不知道這個特性。
點擊密碼區域，顯示一個“顯示”按鈕，再點擊“顯示”按鈕，可看到密碼。如果其他人可以無阻礙使用你的電腦，那他就可以拿到你的這些已保存的密碼。
(本文配圖中的用戶名和密碼為測試所用)
密碼數據保存在哪裏了?
已保存的密碼數據存儲在一個 SQLite 數據庫中，位置是：
[係統盤]:\Documents and Settings\[用戶名]\Local Settings\Application Data\Google\Chrome\User Data\Default\Login Data (這個路徑是 Win XP 係統)
你可以用 SQLite Database Browser 打開這個文件(文件名就是“Login Data”)，查看“logins”表格，該表就包含了被保存的密碼。但你會看到“password_value” 域的值是不可讀，因為值已加密。(PS：SQLite數據庫查看器的SourceForge下載鏈接)
加密後的數據的安全性如何?
為了執行加密(在Windows操作係統上)，Chrome使用了Windows提供的API，該API隻允許用於加密密碼的Windows用戶賬戶去解密已加密的數據。所以基本上來說，你的主密碼就是你的Windows賬戶密碼。所以，隻要你登錄了用自己的賬號Windows，Chrome就可以解密加密數據。
不過，因為你的Windows賬戶密碼是一個常量，並不是隻有Chrome才能讀取“主密碼”，其他外部工具也能獲取加密數據，同樣也可以解密加密數據。比如使用NirSoft的免費工具ChromePass(NirSoft官方下載)，就可以看得你已保存的密碼數據，並可以輕鬆導出為文本文件。
既然 ChromePass 可以讀取加密的密碼數據，那惡意軟件也能讀取的。當ChromePass.exe被上傳至VirusTotal時，超過半數的反病毒(AV)引擎會標記這一行為是危險級別。不過在這個例子中，這個工具是安全的。不過有點囧，微軟的Security Essentials並沒有把這一行為標記為危險。
可以繞過保護機製麼?
假設你的電腦被盜，小偷重設了Windows賬號密碼。如果他們隨後嚐試在Chrome中查看你的密碼，或用ChromePass來查看，密碼數據都是不可用。原因很簡單，因為“主密碼”並不匹配，所以解密失敗。
此外，如果有人把那個SQLite數據庫文件複製走了，並嚐試在另外一台電腦上打開，ChromePass也將顯示空密碼，原因同上。
結論
Chrome瀏覽器中已保存密碼的安全性，完全取決於用戶本身。這裏有些建議：
●使用一個極高強度的Windows賬號密碼。必須記住，有不少工具可以解密Windows賬號密碼。如果有人獲取了你的Windows賬號密碼，那他也就可以知道你在Chrome已保存的密碼。
●讓你自己遠離各種各樣的惡意軟件吧。如果工具可以輕易獲取你已保存的密碼，那惡意軟件和那些偽安全軟件同樣可以做到。如果非得下載軟件，請到軟件官方網站去下載。
●把密碼保存至密碼管理軟件中(比如：KeePass)。當然了，如此一來，瀏覽器就不能幫你自動填充密碼了。
●使用可以整合到Chrome中的第三方工具(比如：LastPass)，使用主密碼來管理你的那些密碼。
●用工具(比如：TrueCrypt)完全加密整個硬盤。
●非私人電腦上，一定不能讓瀏覽器保存密碼。(原文沒有，額外補充)
如果經常用瀏覽器保存登錄用戶名和密碼，離開電腦時最好鎖定屏幕。總之一句話，把家裏(操作係統)的安全工作做好，家中物件的安全性也應當有保障了。
補充信息：如果允許 Firefox 瀏覽器保存站點密碼，同樣可以很方便查看。
Firefox 瀏覽器雖然采用了主密碼機製，但默認並不開啟。如果用戶啟用，以後Firefox每次讀取已保存的敏感數據時，用戶必須輸入主密碼。。用戶必須記住自己設定的主密碼，否則……
最後更新：2017-04-02 00:06:56