浏览器中的密码管理器有多安全？

Question

例如，Opera 有一个“魔杖”功能，可以记住您在各个站点上输入的用户名和密码。

假设您获得了一个木马，它会从您的 PC 中窃取数据。该木马能否解密浏览器存储的密码并使用它们？

Answer 1

• 如果您的计算机上有恶意软件，那么输入或存储在其上的任何密码都不能被认为是真正安全的。即使是诸如 KeyPass 数据库之类的加密密码，只要您输入解密所需的详细信息，攻击者就可以检索您的密码。

• 浏览器通常不太注意保存密码的安全性，至少在默认设置下不会。

假设您获得了一个木马，它会从您的 PC 中窃取数据。该木马能否解密浏览器存储的密码并使用它们？

一句话：是的。浏览器通常不会加密记住的密码，因此可以轻松读取它们。无论如何，使用存储的密钥加密是没有用的：如果浏览器能够解密它，那么在同一台计算机上运行的其他程序也可以这样做。

我最熟悉 Firefox，所以我会选择它。

Firefox 允许您设置“主密码”。如果这样做，它会使用主密码对存储的密码进行加密。但是，为方便起见，您每次会话只需使用此主密码登录一次。登录后，解密保存的密码所需的信息将存储在内存中，并且可以访问。一种更安全和繁琐的方法是要求每次 Firefox 需要查找保存的密码时都输入主密码。

即使保存的密码是完全加密的并且完全无法访问，它们也必须在某个时候被解密并输入到 Web 表单中。这意味着将未加密的密码保存在内存中。实际上有很多“星号 揭示者”程序旨在从内存中提取这些密码，然后将其显示出来。理论上，恶意软件也可以这样做。

恶意软件还可以对您进行键盘记录，从而允许攻击者检索您输入的任何密码。

有跨主流浏览器（IE，Chrome浏览器，FF）的密码安全的一个非常深入的研究在这里。总而言之，Chrome 和 IE10 都依赖于 Windows 的加密例程，这被认为是强大的。但是，它们不能防止在同一用户下运行的其他程序，即它们对恶意软件毫无用处。同样，任何正在执行的程序（作为管理员）都可以从内存中或通过键盘记录获取信息。

当您考虑到您保存的数据被盗以供以后分析的可能性时，加密方法是最重要的，例如有人潜入并复制您的计算机或窃取您的计算机。一般来说，所有现代浏览器都在防范这种形式的攻击方面做得很好。具有良好、强密码的 Firefox 再次成为首选，因为可以通过登录 Windows 用户帐户来恢复 Windows 加密数据，并且 Windows 密码不再完全安全。请注意，这一切都无法阻止非常坚定的攻击者。

Answer 2

鲍勃的回答中指出的观点都是有效的，所以我不再重复它们；然而，我认为一些额外的信息可能对某些人也有帮助，因为你的问题是一个合理的担忧。

• Opera 的 Wand 功能允许您指定询问主密码的频率，可以Preferences > Advanced > Security > Ask for password选择“每次会话一次”（正如鲍勃正确指出的那样，这会限制您的安全性）、“每 x 分钟/小时”（如果您不这样做）不介意摆弄.ini文件，您可以自定义自己的频率）和“每次需要时”（显然是最安全的选项，因为您的密码在浏览会话期间不会存储在内存中）。我不使用 Firefox，但可以想象某个地方有类似的扩展。

• Wand 数据存储在一个名为“wait it”的文件中，wand.dat其格式在不使用主密码的情况下可以相对轻松地破译；如果您确实使用主密码，则它会使用随机组件进行加密，而您的主密码则采用目前我无法识别的算法（不过应该很容易查找）。

• 如果您使用的网站密码对您而言比一般登录更重要，您只需选择不保存密码即可。

• Opera 中的私有选项卡（或其他浏览器中的同等选项）允许您将该选项卡的会话数据与“普通”选项卡中的会话数据分开存储，这可能会增加另一层安全性。

• Chrome 及其衍生产品中使用的安全模型（即，在单独的线程中对每个选项卡进行沙箱处理）可为您提供更高的安全性。

• 您可以定期防范键盘记录程序等：

  • 更新您的防病毒和防火墙软件；和
  • 更改您的密码。

总结：

• 您的浏览器和登录的安全级别在很大程度上取决于您。

• 如果有人非常熟练且足智多谋，尽管采取了上述所有预防措施，他们最终仍可能获得您的数据，但这将使您的浏览器数据更加安全，并且会显着提高破解数据所需的复杂程度。