chrome 密码泄漏了，才知道用 chrome 保存密码等于裸奔

前几天电脑中毒了，虽然第一时间重装系统，但是隔天依然收到一大堆网站登录的 gamil 验证邮件，谷歌帐号也提示风险操作。密码管理一直用的 chrome 自带的，考虑是 chrome 保存的密码泄漏，于是连夜改了所有帐号密码，能二验的全部添加二验。然而第二天早上还是发现一台小鸡被人在 vps panel 里重装了 windows 系统，还好有数据备份，然后又改所有小鸡的 ssh 登陆密码。因为之前谷歌帐号开了二次验证，还好谷歌帐号没被登录。吃了这个惨痛的教训，我开始研究 chrome password manger 的安全问题，才发现 chrome 保存密码等于裸奔。

一篇解释如何获取 chrome 保存的密码的文章： https://ohyicong.medium.com/how-to-hack-chrome-password-with-python-1bedc167be3d

如果用 chrome 自带的密码管理保存密码，任何一个运行在你电脑上的程序，不需要管理员权限，都能解密并读取本地保存的密码。因为 chrome 的密码保存在本地加密的 sqlite 中，同时加解密密钥也明文保存在本地文件里，任何程序都能读取。

加密 sqlite 文件路径: C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Default\Login Data

解密密钥文件路径 C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

额外说明一点是解密需要用到 win32 提供的 API CryptUnprotectData 函数，这个函数保证解密是和加密在同一台电脑（用户）进行的，所以如果直接复制硬盘的浏览器数据到其他电脑上是解密不了的，但是只要你的 Windows 登录了，任何程序只要想都可以解密 chrome 的密码然后上传。

现在考虑转 bitwarden 中。

dcsuibian

2022-08-14 15:16:54 +08:00

在我看来，这相当于病毒攻破了人体的免疫系统，你却希望器官自己做好防护。

说真的，如果我是安全人员，我肯定主要想的是“怎么防止病毒进来”而不是“病毒进来以后怎么办”。
因为在后者的情景下，花了九牛二虎之力能获得的安全性提升仍然十分轻微。就好像你花了大量的时间去锻炼身体却不注重个人卫生一样。
万一病毒是监控你操作、远程控制你电脑的呢？

中病毒了，你应该首先重装系统、安装杀毒软件、不要轻易下载和运行二进制文件、提高自己的安全意识。

而且，我觉得你在选择 Chrome 作为密码存储软件时，已经对安全性和便利性做出了选择。

wwbfred

2022-08-14 15:42:50 +08:00

逻辑是这样的：如果一个密码库没有 Master Key ，那么玩得再花也没有用；如果一个密码库有 Master Key ，它也不能阻止一个具有 ROOT 权限的进程，因为 Master Key 需要输入，而 ROOT 权限可以得到你所有的输入。只有硬件级别的密码存储和管理方式才能杜绝在设备遭到入侵情况下密码被盗的问题，除此之外的 Master Key 本质上就是防流氓不防强盗的东西。
Chrome 最大的问题不是明文存储，而是它是浏览器会执行第三方代码。如果浏览器存在提权漏洞，就可能导致密码泄露，这才是不使用 Chrome 管理密码的最重要原因。

chrome 密码泄漏了， 才知道用 chrome 保存密码等于裸奔

chrome 密码泄漏了，才知道用 chrome 保存密码等于裸奔