chrome 密码泄漏了， 才知道用 chrome 保存密码等于裸奔

[juejinloop]

前几天电脑中毒了，虽然第一时间重装系统，但是隔天依然收到一大堆网站登录的 gamil 验证邮件，谷歌帐号也提示风险操作。密码管理一直用的 chrome 自带的，考虑是 chrome 保存的密码泄漏，于是连夜改了所有帐号密码，能二验的全部添加二验。然而第二天早上还是发现一台小鸡被人在 vps panel 里重装了 windows 系统，还好有数据备份，然后又改所有小鸡的 ssh 登陆密码。因为之前谷歌帐号开了二次验证，还好谷歌帐号没被登录。吃了这个惨痛的教训，我开始研究 chrome password manger 的安全问题，才发现 chrome 保存密码等于裸奔。

一篇解释如何获取 chrome 保存的密码的文章： https://ohyicong.medium.com/how-to-hack-chrome-password-with-python-1bedc167be3d

如果用 chrome 自带的密码管理保存密码，任何一个运行在你电脑上的程序，不需要管理员权限，都能解密并读取本地保存的密码。因为 chrome 的密码保存在本地加密的 sqlite 中，同时加解密密钥也明文保存在本地文件里，任何程序都能读取。

加密 sqlite 文件路径: C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Default\Login Data

解密密钥文件路径 C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

额外说明一点是解密需要用到 win32 提供的 API CryptUnprotectData 函数，这个函数保证解密是和加密在同一台电脑（用户）进行的，所以如果直接复制硬盘的浏览器数据到其他电脑上是解密不了的，但是只要你的 Windows 登录了，任何程序只要想都可以解密 chrome 的密码然后上传。

现在考虑转 bitwarden 中。

[xiaoen]

我也一直都是 Chrome 保存密码，看的我也想换了，前短时间有活动还想着换成 1pass ，lastpass ，不过就是免费 1 年，终究嫌麻烦没换。。。现在想换了。怕

[dlsflh]

用 chrome 看密码的时候不是要验证电脑账户密码吗？

[Liar1844]

就是怕这个，所以改用 Bitwarden 自建了。

[7zlid]

Bitwarden 本地中毒 且已经解密。一样有泄漏的风险
用一台单独的电脑保存，用另一台登录
然后复制 Cookie 登录网站，是级别比较高的方案

[7zlid]

Yubikey 也算一个缓解方案

[0o0O0o0O0o]

如果你不能确保客户端的安全，那换了 bitwarden 也没有安全性可言。

[glouhao]

现在谷歌没有解决么

[juejinloop]

@dlsflh 这个步骤就是个摆设，只在 Windows 上有，只能阻挡有人不经过你同意手动查看你的 chome 密码，对小白有用。Linux 就没有这骗人的一步，直接查看。

[mcone]

物理安全都不能保证，凭什么让第三方密码管理软件保证你的安全

最简单的逻辑就是，如果不能本地解密，怎么在各个加密方式都不同的（甚至是明文传输的）网站登陆呢

[Jooooooooo]

这...只要是类似保存密码的软件, 一旦泄露保存密码软件本身的密码, 都是裸奔.

要不然咋给你填啊, 肯定填的都是明文.

[Chaidu]

电脑中毒了还关心 Chrome 保存密码安不安全？不更应该去 P 站看看有没有自己的做爱视频吗

[vvhy]

@dlsflh #2 额确实是个摆设，密码自动填充之后，按 F12 删掉 type=password 就能看到明文密码了。。。赞同楼上，得保证物理安全。

[Biggoldfish]

客户端都被攻击者控制了，换啥密码管理器都白搭。无论本地存储怎么加密，使用时总得解密加载到内存中，到时候 dump 出来就完事。

[crayygy]

https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html

[tulongtou]

mac 没有 win32 的 API ，是怎么处理这一块的呢？

[hertzry]

我在 OneDrive 上的 Excel 里保存密码。

[crayygy]

@crayygy #14 TL'DR: 某位思科员工的 Google Account 被盗，导致 Chrome 云同步的所有密码全部泄漏，即使已经 enable 了 2FA ，但仍然没能躲过攻击者。

[lqcc]

客户端都中毒了。。。

[juejinloop]

@glouhao 搜了下，发现 Chrome 的开发者早就知道这个问题，但是并不打算改变： https://news.ycombinator.com/item?id=6166731

可以说这安全性还比不上本地 txt 保存密码，至少 malware 不知道路径还需要扫盘，而 chrome 的本地保存的密码路径都是固定不变的。

[juejinloop]

@lqcc 阅读文章帖子内容，不需要中毒的程度，任何运行的程序都解密读取你的密码。你能保证你电脑上运行的二进制软件都是非恶意的吗，别说看不到源码的二进制程序，就是国产软件的扫盘还少吗？