Наскільки безпечними є ваші збережені паролі Internet Explorer?

Одним з найбільш зручних інструментів, які пропонують браузери, є можливість зберігати та автоматично заповнювати ваші паролі у формах реєстрації. Оскільки стільки сайтів вимагає облікових записів і добре відомо (або має бути принаймні), що використання загального пароля є великим не-ні, менеджер паролів практично важливий.

Отже, якщо ви користувач IE і дайте відповідь «так», щоб дозволити браузеру запам'ятати ваш пароль, наскільки безпечно ця інформація?

Де вони збережені?

Починаючи з Internet Explorer 7, пароль зберігається в системному реєстрі (KEY_CURRENT_USER, Microsoft Internet Explorer, IntelliForms, Storage2) і зашифровується проти пароля користувача Windows, використовуючи API захисту даних, який використовує шифрування Triple DES.

Наскільки безпечними є ці дані?

На момент написання цього матеріалу Triple DES практично неруйнівний за допомогою методів грубої сили. Однак, якщо ви входите до облікового запису Windows, де дані про ваш пароль зберігаються як Windows, ви маєте припустити, що після входу в систему безпечно для доступу до цих даних. Через те, що IE не використовує головний пароль (наприклад, те, що пропонує Firefox) для захисту збережених паролів, відповідним паролем облікового запису Windows є ключ розшифровки Triple DES.

Простіше кажучи, якщо ви можете увійти в Windows з обліковим записом і паролем, ви можете побачити збережені паролі браузера. Використовуючи вільно доступну утиліту, таку як IE PassView від NirSoft, ви можете переглядати та експортувати кожен збережений пароль IE.

Так може зловмисне програмне забезпечення доступу до цього?

Побачивши, як легко дістатися до цих даних, наступне логічне питання - чи легко зловмисне програмне забезпечення може отримати до цих даних. Я не розробник шкідливих програм, але я не бачу жодної причини, чому він не міг. Якщо я сканую утиліту IE PassView за допомогою програми Virus Total, можна побачити, що 55% сканерів, які вони використовують, виявляють, що це зловмисне програмне забезпечення (одне з яких - Security Essentials).

Хоча в нашому випадку результат є помилковим позитивним, це свідчить про те, що доступ до цих даних з боку шкідливого програмного забезпечення неможливо, навіть якщо система запускає антивірус. Окрім того, оскільки зашифровані дані не є специфічними для користувача, програма UAC не запускається програмою, яка намагається отримати доступ до цих даних. Перш ніж подумати, що це помилка в ОС, це дійсно так, як це повинно бути, інакше IE і безліч інших додатків Windows, які використовують захищене сховище, ініціюють запрошення UAC кожного разу, коли вони відкриються..

Що робити, якщо в мене викрадено комп'ютер?

Проста відповідь: ці дані настільки ж безпечні, як і пароль облікового запису Windows. Як ми вже показали вище, при вході в обліковий запис, використовуючи відповідний пароль, всі ці дані легко доступні. Якщо ви не використовуєте пароль, у вас немає захисту.

Для того, щоб зробити цей крок далі, я зробив скидання пароля облікового запису, щоб побачити, що станеться, коли пароль насильно змінено за межами Windows. Після скидання я зберегла новий пароль для адреси Gmail (blah @) і запустив IE PassView. Мені вдалося побачити попереднє ім'я користувача (myemail @), яке було збережено до скидання пароля, але через те, що паролі облікового запису (тобто "головний пароль"), які використовуються для збереження даних, відрізняються, його не вдалося розшифрувати пароль, збережений під попереднім паролем облікового запису Windows. Це, безумовно, добре.

Висновок

Наприкінці дня безпека збережених паролів в Інтернеті повністю залежить від користувача:

• Використовуйте дуже сильний пароль облікового запису Windows. Майте на увазі, є утиліти, які можуть розшифровувати паролі Windows. Якщо хтось отримує пароль облікового запису Windows, то вони матимуть доступ до збережених паролів IE.
• Захистіть себе від шкідливих програм. Якщо утиліти можуть легко отримувати доступ до збережених паролів, то чому вони не можуть бути шкідливими?
• Збережіть свої паролі в системі керування паролями, наприклад KeePass. Звичайно, ви втрачаєте зручність, коли браузер автоматично заповнює ваші паролі.
• Використовуйте утиліту третьої сторони, яка інтегрується з IE і використовує головний пароль для керування паролями.
• Шифруйте весь жорсткий диск за допомогою TrueCrypt. Це абсолютно необов'язково і для ультра захисних, але якщо хтось не може розшифрувати ваш диск, вони, безумовно, можуть отримати що-небудь від нього.

Звичайно, обидва ці слова безсумнівно, але це лише підсилює важливість вжиття заходів для збереження вашої системи в безпеці.

Завантажити IE PassView від NirSoft