chrome 密码泄漏了， 才知道用 chrome 保存密码等于裸奔

[juejinloop]

前几天电脑中毒了，虽然第一时间重装系统，但是隔天依然收到一大堆网站登录的 gamil 验证邮件，谷歌帐号也提示风险操作。密码管理一直用的 chrome 自带的，考虑是 chrome 保存的密码泄漏，于是连夜改了所有帐号密码，能二验的全部添加二验。然而第二天早上还是发现一台小鸡被人在 vps panel 里重装了 windows 系统，还好有数据备份，然后又改所有小鸡的 ssh 登陆密码。因为之前谷歌帐号开了二次验证，还好谷歌帐号没被登录。吃了这个惨痛的教训，我开始研究 chrome password manger 的安全问题，才发现 chrome 保存密码等于裸奔。

一篇解释如何获取 chrome 保存的密码的文章： https://ohyicong.medium.com/how-to-hack-chrome-password-with-python-1bedc167be3d

如果用 chrome 自带的密码管理保存密码，任何一个运行在你电脑上的程序，不需要管理员权限，都能解密并读取本地保存的密码。因为 chrome 的密码保存在本地加密的 sqlite 中，同时加解密密钥也明文保存在本地文件里，任何程序都能读取。

加密 sqlite 文件路径: C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Default\Login Data

解密密钥文件路径 C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

额外说明一点是解密需要用到 win32 提供的 API CryptUnprotectData 函数，这个函数保证解密是和加密在同一台电脑（用户）进行的，所以如果直接复制硬盘的浏览器数据到其他电脑上是解密不了的，但是只要你的 Windows 登录了，任何程序只要想都可以解密 chrome 的密码然后上传。

现在考虑转 bitwarden 中。

[pkoukk]

chrome 雀食不行

[yedanten]

chrome 存的是密文，用当前系统用户的 dpapikey 进行加解密。
提取 key 需要管理员权限。

中病毒后，能否获取到你机器上保存的密码，只是难度和时间的问题，这锅要谷歌背就很冤枉

[fareware]

mac 用 1password, 谁能用廉价的方案盗我（狗头）

[huntagain2008]

小白登进一台主机，想获取某个系统的登录密码，该系统只能通过 chrome 浏览器打开，我下载 nirsoft 的 WebBrowserPassViewer 尝试查看密码，结果什么也没有，在 chrome 浏览器查看也是什么也没有。然后我想电脑的使用者虽然不懂 IT 技术，但是密码从来都是通过自己的手机照片现场手动输入密码，从来都不让 chrome 记住密码。于是，只好作罢。

[ZeroDu]

这个老早之前就这样了；目前用火绒监控

[totoro625]

@hush3 #179 +1 我现在 twitter 被永久冻结，申诉至今为解开，用了好多年的老账户，关注了一堆有的没的，现在都看不到了


@yedanten #182 不需要管理员权限就能获取，例如 https://github.com/moonD4rk/HackBrowserData


@loolac #180 Windows 下运行的来历不明 exe 真的多，但是杀毒软件并不是都能识别出来的，别说伪装成正常使用的软件了，更甚于腾讯软件已知的明目张胆翻看你的浏览器历史记录，扫描硬盘
有兴趣的话可以关注一下 3Q 大战，国民软件完全可以标记哪些人上了哪些网站，账户 id 是什么

[zsxeee]

@clf windows hello 是基于硬件 TPM 来保存的密钥，你不输密码无法解密

[Unclev21x]

@totoro625 #173 正常安装的，日常都是自动更新的。

那个软件被谷歌浏览器提示有风险，然后直接被火绒干掉了

[Unclev21x]

@Unclev21x #188 退出火绒，运行了一下，报错，然后出来的一个文件里面打开后，第一行出现的是这个目录：
C:\Users\XXX\AppData\Local\Google\Chrome\User Data\AutofillStates

[Felix2Yu]

@Helsing 是的，绝了。还有说早就知道 Chrome 有这么个情况，然后结论是拒绝安装国产软件，免得被利用……
反思怪到这个程度也是想不到

[totoro625]

@Unclev21x #189 你的 Chrome 或许跟比尔不一样
我的 Firefox 加了主密码，运行完之后，exe 文件所在目录会出现 chromiumKey 、firefoxPassword 文件和 results 目录
results 目录里面是 chrome 、Firefox 和 edge 的一堆记录，除了 Firefox 防住了密码，其他都没防住

[FengMubai]

edge 可以使用设备密码加密

[EeffDev]

@nbndco 我也想确认下 mac 下到底安不安全，因为我从 chrome 迁移到 edge 的时候，我记得密码是直接过来的

[DeWjjj]

劫匪都进家门了，你还谈权限控制有啥用呢？没事别乱下东西。

[greenskinmonster]

搜索了一下，感觉这就是 Windows 的密码保护机制的问题，只要你登录系统了，在登录后运行的程序，就可以获取你保存的密码。这篇文章是 2020 年 4 月的，我不确定新的系统有没有变化。

https://blog.elcomsoft.com/2020/04/extracting-passwords-from-microsoft-edge-chromium/

引用结论 (DeepL 翻译)
由 Chromium 驱动的新微软 Edge 与 Edge Legacy 有很大不同。与其他基于 Chromium 的浏览器共享的新密码保护引擎与传统 Edge 采用的 DPAPI 保险库和凭证管理器有很大的不同。新的密码保险库为用户提供了与旧版 Edge 相同的保护水平，但由于底层引擎的开源性质，使用第三方工具提取密码要容易得多--如果而且只有在能够接触到用户的 Windows 凭证或已经验证的会话的情况下。除非可以恢复用户的 Windows 密码，否则冷磁盘图像攻击仍然是不可能的。

[ylqhust]

真的离谱，chrome 你至少可以加个主密码好吧，需要的时候输入也不影响体验啊。现在纯纯裸奔，用户也完全不知道在裸奔，我一直都相信密码放在 chrome 是安全的，哪怕把不安全告诉用户也好啊，这种设计真的不干人事。

[wydone]

好巧，今天 hackernews 首页上有一篇文章：Browser password managers – flawed security, by design!

说浏览器厂商们为了最大的易用性，把这种安全性有缺陷的方式作为默认设置，虽然它们也都有设置主密码的选项。作者认为解决方法很简单，让这些浏览器默认要求用户设置主密码，就像那些真正的密码管理器一样。

https://fractionalciso.com/browser-password-managers-flawed-security-by-design/

[raysonlu]

所以，ios 的那套存储密码，是否也是 flawed security ？

[DarkCat123]

不光如此，还不支持第三方的 autofill 填充。。
见： https://bugs.chromium.org/p/chromium/issues/detail?id=1170065

[Unclev21x]

@totoro625 #191 谢谢。我重新搞了一次，密码确实全部被导出来了。细思极恐。咋整。离不开谷歌浏览器。而且，换个浏览器的话，比如用 edge ，打开 google 主页的时候，总是提醒你下载谷歌浏览器，好烦啊。