Sta diventando sempre più il caso che molte estensioni e plug-in del browser richiedano l'accesso a "tutti i miei dati" (sia in Chrome che in Firefox; non commenterò Internet Explorer).

Mi chiedo se è possibile che questi plug-in e componenti aggiuntivi accedano ai miei dati bancari (ad esempio) quando li visito o accedo ai dati inviati tramite i moduli.

Quali sono le implicazioni di sicurezza dei componenti aggiuntivi?

Questo post si applica solo a Firefox e Chromium / Google Chrome. Non posso commentare Internet Explorer, Opera o i browser mobili. Inoltre, la mia matematica più in basso potrebbe essere sbagliata, ma l'idea di base è corretta.

Naturalmente questo è possibile, tuttavia, nel caso di Firefox e Chrome / Chromium, improbabile.

Le mie password (che sono memorizzate nel browser) sono sicure?

Questa risposta è una delle mie preferite: dipende. Le password salvate dal browser devono soddisfare una condizione importante e, dal punto di vista della sicurezza, da incubo, condizione: devono essere in chiaro o riverificabili in chiaro.

Testo normale vs. Crittografato vs. Hashed

Perché è così male? Bene, immagina che qualcuno entri in un server e rubi il database delle password. Esistono due possibili esiti:

1. Le password sono in chiaro (o facilmente reversibili), quindi il cracker ora ha pieno accesso a tutti gli account.
2. Le password sono sottoposte a hash (o crittografate), per ottenere le password e accedere agli account sarebbe necessario un attacco di forza bruta contro gli hash. Anche ora che il tuo nome utente e password sono stati rubati, il tuo account è ancora sicuro.

Poiché il browser deve essere in grado di inviare la password ai siti Web, non può eseguire l' hash delle password, ma può solo crittografarle (o persino memorizzarle come testo normale). Questo è qualcosa che dovresti sempre tenere a mente (lo stesso vale per i client di posta elettronica, le applicazioni di chat e così via).

Solo perché è crittografato, non significa che sia sicuro

Firefox, per impostazione predefinita, ti consente di salvare le password. Li crittografa anche . Lo stesso vale per il cromo (vedi addendum "Beh, dipende ..." ). Il problema è che la chiave per la decrittazione viene memorizzata anche con le password. Questo rende la crittografia un piccolo inconveniente per chi desidera le tue password e non le blocca in alcun modo.

Quindi non memorizzare la chiave con le password!

Esatto, per rendere le password più sicure , dobbiamo allontanare la chiave dalle password crittografate. Questo viene fatto in Firefox impostando una Master Password , che viene quindi utilizzata per crittografare e decrittografare tutte le password. Usando questa tecnica, separi la chiave dai dati crittografati, il che è sempre una buona idea (dopo tutto, non stai tenendo la chiave della porta d'ingresso su un gancio davanti alla porta all'esterno, giusto?).

Le password sono sicure solo quanto le crei

Quindi, perché ho detto prima che le tue password ora sono più sicure e non sicure ? Perché ora la sicurezza delle tue password dipende dalla password che hai scelto. Cioè, la password "asdf" non deve essere considerata sicura in alcun modo; né è "12345". Le buone password sono lunghe , perché forzarle brutalmente richiede molto tempo. La password "VioletIsAnotherColor" è tecnicamente più sicura di "D0! L4riZe" per la sua lunghezza, nonostante il secondo contenga caratteri speciali. Diamo una breve occhiata a quello.

"VioletIsAnotherColor"
Lunghezza: 20
Caratteri possibili: 52 (26 minuscoli + 26 maiuscoli)

"D0! L4riZe"
Lunghezza: 9
caratteri possibili: 77 (26 in basso + 26 in alto + 10 cifre + 15 speciali)
Speciali :! " @ $% & / () =? * + # -

Quindi, di quanti tentativi abbiamo bisogno per infrangere quelle password, conoscendo i loro set di caratteri e la loro lunghezza?

"VioletIsAnotherColor"
52 ²⁰ = ~ 20 decillion (~ 2 × 10 ³⁴ )

"D0! L4riZe"
77 ⁹ = ~ 95 quadrilioni (~ 9 × 10 ¹⁶ )

Come vediamo, quest'ultima password, nonostante il set di caratteri più ampio, è più facile da forzare rispetto a quella lunga con il suo set limitato. Questo è a causa della lunghezza. (Un altro aspetto positivo è che il primo è più facile da ricordare.) Vedi questa domanda sulla sicurezza IT per i dettagli sulla questione.

Quindi, se possibile, utilizzare una passphrase, non una password .

Tornando all'argomento, quanto sono sicure le mie password da un componente aggiuntivo di spoofing?

Loro non sono. Questo perché i componenti aggiuntivi hanno accesso al sito Web che hai appena visitato. Possono estrarre informazioni da esso, comprese le password inserite. I componenti aggiuntivi rappresentano un rischio per la sicurezza come qualsiasi altro software installato. Installa solo componenti aggiuntivi di cui ti fidi.

Grande! Come lo so?

Installa solo componenti aggiuntivi da fonti affidabili. Per Firefox è la pagina AddOns e per Chromium è il Chrome Web Store , o se ti fidi dell'autore / distributore. Entrambi garantiscono che gli AddOn siano controllati e sicuri.

Né la pagina Mozilla AddOns né il Chrome Web Store garantiscono in alcun modo che l'addon sia sicuro. Impiegano processi di revisione automatizzati che potrebbero o potrebbero catturare componenti aggiuntivi dannosi. Alla fine della giornata, rimane ancora un rischio.

Installa solo componenti aggiuntivi da fonti di cui ti fidi.

Aspetta un attimo; hai appena citato altri software installati?

Ovviamente! Nulla impedisce agli altri software installati di recuperare le password dal browser, eseguire attacchi man-in-the-middle o persino servire un proxy che falsifica i siti Web bancari. Lo stesso vale per i plugin del browser. La regola empirica è: non installare software di cui non ti puoi fidare.

Conclusione

Cosa dovresti togliere da questo?

• Non installare mai software / plugin / componenti aggiuntivi di cui non ti fidi.
• Se hai ancora dei dubbi, imposta una password principale.
• In caso di dubbi, non fidarti del tuo browser con le password, non salvarle mai.
• Se ancora in dubbio, non installare alcun addons / plugins.
• Se ancora in dubbio, utilizzare un sistema live , che non può essere manomesso.

Addendum: "Beh, dipende ..."

Come ho appreso, i miei presupposti in questo paragrafo non sono corretti al 100% e vorrei correggerlo. Le seguenti informazioni si applicano solo alla memorizzazione delle password sul disco.

Google Chrome / Chromium

In realtà fa Salva le tue password in modo sicuro sul disco, a seconda del sistema operativo in esecuzione su:

Microsoft Windows

L'API di Microsoft Windows CryptProtectData/ CryptUnprotectDataviene utilizzata per crittografare / decrittografare la password. Questa API funziona con la password del tuo account OS, quindi è sicura solo quanto quella password.

Mac OS

Il layer per MacOS genera una chiave casuale basata sulla password del portachiavi dell'utente corrente e aggiunge quella chiave al portachiavi. Ancora una volta, questo è sicuro quanto la password dell'utente.

Linux

Bene ... non parliamone.

Va bene, se devi sapere, fa esattamente quello che ho assunto: memorizza i dati con una password hardcoded. Perché è così? Semplicemente perché non esiste alcuna infrastruttura comune per gestire i dati crittografati in un modo per gli altri due sistemi. No, non ho solo detto che a Linux mancano i sistemi di crittografia o la sicurezza; ci sono un sacco di portachiavi / portachiavi e soluzioni di memorizzazione delle password disponibili in userspace . A quanto pare, gli sviluppatori di Chrome hanno deciso di non utilizzare uno di questi. "Perché?" non è una domanda a cui posso rispondere.

Firefox

Utilizza sempre una chiave generata che viene memorizzata accanto alle password. L'eccezione è se si imposta una password principale, verrà utilizzata anche questa .