Używam Chrome i Chrome Sync; czy Google ma dostęp do moich haseł?

Używam Chrome (i Chrome Sync) od wielu lat. Czy to oznacza, że Google, właściciel Chrome, zna wszystkie moje hasła?

Pytam, bo zdałem sobie sprawę, że Google jest właścicielem Chrome, a także jest to przeglądarka z zamkniętym źródłem, co oznacza, że może istnieć jakiś backdoor, który pozwala przeglądarce na zbieranie moich haseł.

Czy to samo dotyczy Firefoksa?

— Selin Peck
źródło

Nie określono, czy logujesz się do przeglądarki, czy nie. Jeśli nie logujesz się w Chrome, wszystkie ustawienia, hasła itp. Są zapisywane lokalnie, a nie w chmurze.

— ernie

@ernie używa Sync, więc nie wszystko jest lokalne

— Tim S.

Google wie wszystko. Jeśli Google nie jest w stanie znaleźć czegoś, to nie istnieje ...;)

— Sp0T

Odpowiedzi:

Krótka odpowiedź, tak. Jeśli synchronizacja jest włączona i zdecydujesz się zapisać hasło, zostanie ono wysłane na serwery Google. To powiedziawszy, dane są szyfrowane, a dostęp do nich jest ograniczony.

Domyślnie Google szyfruje zsynchronizowane dane przy użyciu poświadczeń konta . Google wskazuje, że tych danych nie można odszyfrować bez znajomości hasła, i że w rzeczywistości, gdy zmienią się twoje dane uwierzytelniające, wszystkie zsynchronizowane dane muszą zostać usunięte z ich systemów, a następnie mogą być ponownie zsynchronizowane z twoich urządzeń (a proces ten jest ponownie zaszyfrowane przy użyciu nowych poświadczeń).

Tak więc, jeśli wszystko działa poprawnie, samemu Google można zaufać, a infrastruktura Google jest wystarczająco bezpieczna, aby powstrzymać zainteresowane strony trzecie (czytaj NSA, hakerów kryminalnych itp.), A następnie Twoje dane są bezpieczne. To powiedziawszy jednak, Google nadal ma możliwość odszyfrowania twoich danych, chociaż tego nie ujawniają. Jest to po prostu wynikiem tego, że są oni uczestnikami tworzenia klucza szyfrowego (twoich danych uwierzytelniających), pozostawiając im możliwość zapisania i potencjalnego niewłaściwego użycia kluczy.

Ten poziom zaufania jest większy niż chciałbym w nich pokładać, więc w tej sytuacji wolałbym nie zapisywać haseł ani synchronizować danych z ich usługami, ale to tylko moje preferencje. Tylko głupiec ufa wszystkim, ale tylko większy głupiec nie ufa nikomu.

— Frank Thomas
źródło

Warto wspomnieć, że linkowana strona brzmi: „Alternatywnie możesz zaszyfrować wszystkie zsynchronizowane dane za pomocą hasła synchronizacji. To hasło synchronizacji jest przechowywane na twoim komputerze i nie jest wysyłane do Google”.

— i31415

@FrankThomas: Nie rozumiem. Możesz wybrać własne hasło podczas synchronizacji danych. Oznacza to, że Google nie zna hasła i dlatego nie może odszyfrować danych ... prawda?

— Mehrdad

Używanie Google Chrome do wszelkich danych, którymi NSA może być zainteresowana, jest strasznym błędem.

— JonathanReez

Tak, jeśli zaszyfrujesz wszystkie synchronizowane dane, Google stwierdza, że operacja odbywa się całkowicie po stronie klienta, w którym to przypadku nie będą mogli łatwo wyciągnąć klucza. To sprawia, że jest bezpieczniejszy, ale nie jest sam w sobie bezpieczny. Nie mamy pojęcia, jaki szyfr jest w użyciu, czy utrzymują skrót hasła, czy Twój klucz jest jedyny itp. Prawo USA tak naprawdę nie zezwala na przechowywanie zaszyfrowanych danych, do których oni sami nie mają dostępu w odpowiedzi zgodna z prawem prośba o przechwycenie.

— Frank Thomas

@FrankThomas, jakie to prawo? Myślałem, że reguła jest taka, że jeśli mam techniczną możliwość dostępu do ich zwykłego tekstu, to muszę się spełnić, ale przechowywanie zaszyfrowanych obiektów blob, których nie mogę odszyfrować, nie jest w żaden sposób nielegalne.

— trzydzieści trzydzieści

To zależy od ustawień szyfrowania .

Szyfruj zsynchronizowane hasła za pomocą danych logowania Google: jest to opcja domyślna. Zapisane hasła są szyfrowane na serwerach Google i chronione poświadczeniami konta Google.

Dzięki tej opcji Google ma dostęp do twoich danych.

Zaszyfruj wszystkie zsynchronizowane dane za pomocą własnego hasła synchronizacji: Wybierz tę opcję, jeśli chcesz zaszyfrować wszystkie dane wybrane do synchronizacji. Możesz podać własne hasło, które będzie przechowywane tylko na twoim komputerze.

Dzięki tej opcji Google nie ma dostępu do twoich danych, zakładając, że są one uczciwe w kwestii tego, co dzieje się z Twoim hasłem (co się stanie, jeśli zapomnisz swoje hasło, oznacza, że nie przechowują go dla Twojej korzyści), nie mają niektóre luki (lub backdoor) w zabezpieczeniach synchronizacji, a twoje hasło jest wystarczająco bezpieczne, aby wytrzymać próbę brutalnej siły ze strony Google (takie hasło jest możliwe, ale bardzo nietypowe).

Możesz ograniczyć możliwość przechwytywania haseł przez Google, używając menedżera haseł offline, takiego jak KeePass, w połączeniu z Chrome jako przeglądarką. Możesz całkowicie usunąć tę możliwość, nie używając już produktów Google (a jeśli naprawdę zawierają keyloggera z Dyskiem Google lub Chrome? A w Gmailu żądania resetowania hasła mogą zostać przechwycone w taki czy inny sposób, co może skutkować dostępem Google do Twoich kont, nawet jeśli hasła nie da się złamać).

W przeglądarce Firefox bezpieczeństwo danych zależy od tego, jak bezpieczne jest twoje hasło do konta Firefox. Jeśli wybierzesz dobre hasło, Mozilla lub ktokolwiek powinien mieć dostęp do twoich haseł. Jednakże zakłada to, że Mozilla szczerze mówi o tym, jak działa system, i że nie ma luki w zabezpieczeniach (backdoor). Możesz dodać dodatkową miarę bezpieczeństwa, uruchamiając własny prywatny serwer synchronizacji zamiast korzystać z Mozilli. Ponieważ Firefox jest oprogramowaniem typu open source, a Mozilla ma lepsze osiągnięcia w zakresie prywatności niż Google , prawdopodobieństwo, że spróbują narazić twoje dane, wydaje się znacznie niższe.

Wybierz poziom paranoi, jak chcesz i na podstawie swoich potrzeb. Nie używałbym niczego Google do potrzeb na poziomie Snowdena, ale do zwykłej prywatności potrzebowałbym przynajmniej hasła w Google Sync (aby atakujący uzyskujący dostęp do Twojego konta Google miał inną warstwę do przejścia, zanim ma twoje hasła).

Pamiętaj też, że wszystko to wychodzi z okna, jeśli komuś uda się zainstalować keylogger (może być uzupełniony skrobaczką do ekranu i rejestratorem kliknięć myszką do walki z klawiaturami ekranowymi) na komputerze.

— Tim S.
źródło

Twoja paranoja jest dobrze uzasadniona. Tak, Google może uzyskać dostęp do twoich haseł. Jest to nawet prawdą, jeśli zdefiniowałeś niestandardowe hasło, chyba że jest ono naprawdę losowe, a nie typowe hasło wybrane przez człowieka. Powodem jest to, że podejście stosowane przez Chrome do konwersji tego hasła na klucz szyfrowania (PBKDF2-HMAC-SHA1 wykona 1003 iteracje) jest absurdalnie proste do brutalnego użycia. Nie wymaga zasobów Google, każdy, kto chce zainwestować mniej niż 1000 USD w kartę graficzną, może odgadnąć większość haseł w ciągu kilku dni. Obecna implementacja nawet nie ustawia zmiennej soli, co pozwala zgadywać hasła dla wszystkich kont równolegle.

Obecna implementacja Firefox Sync jest znacznie lepsza. Każdy, kto tylko uzyskuje dostęp do danych na serwerze, nie będzie w stanie wiele z tym zrobić, ochrona jest rozsądna. Składnik tej ochrony po stronie klienta jest jednak obecnie nieoptymalny (PBKDF2-HMAC-SHA256 z 1000 iteracjami), więc każdy, kto jest w stanie przechwycić skrót hasła wysyłany do serwera, będzie mógł odgadnąć twoje hasło w porównywalny sposób mały wysiłek.

Dodatkowe informacje:

— Władimir Palant
źródło