Wie sicher sind Ihre gespeicherten Chrome-Browser-Passwörter?

Eine häufig gestellte Frage zum Google Chrome-Browser lautet: "Warum gibt es kein Hauptkennwort?". Google hat (inoffiziell) die Position vertreten, dass ein Hauptkennwort ein falsches Sicherheitsgefühl bietet und der beste Schutz für diese sensiblen Daten ist durch die Gesamtsystemsicherheit.

Wie genau sind Ihre gespeicherten Kennwortdaten also in Google Chrome gespeichert??

Gespeicherte Passwörter anzeigen

Chrome enthält einen eigenen Passwort-Manager, der über Optionen> Persönliches> Gespeicherte Passwörter verwalten verfügbar ist. Dies ist nichts Neues. Wenn Sie zulassen, dass Chrome Ihre Kennwörter speichert, kennen Sie diese Funktion wahrscheinlich bereits.

Eine nette kleine Sicherheit ist, dass Sie zuerst auf die Schaltfläche "Anzeigen" neben jedem Kennwort klicken, das Sie anzeigen möchten.

Zwar gibt es keine Zugriffsbeschränkung für diesen Bildschirm (dh, wenn Sie Zugriff auf den Desktop haben, auf dem Chrome installiert ist, können Sie zu den Kennwörtern gelangen), es ist jedoch mindestens ein Benutzereingriff erforderlich, um jedes Kennwort anzuzeigen, ohne dass es möglich ist, sie in großen Mengen zu exportieren in eine reine Textdatei.

Wo sind die Kennwortdaten gespeichert??

Die gespeicherten Passwortdaten werden in einer SQLite-Datenbank gespeichert, die sich hier befindet:

% UserProfile% \ AppData \ Local \ Google \ Chrome \ Benutzerdaten \ Standard \ Anmeldedaten

Sie können diese Datei (der Dateiname ist nur "Anmeldedaten") mit SQLite Database Browser öffnen und die Tabelle "Logins" anzeigen, die die gespeicherten Kennwörter enthält. Sie werden feststellen, dass das Feld "password_value" nicht lesbar ist, da der Wert verschlüsselt ist.

Wie sicher sind die verschlüsselten Daten??

Für die Verschlüsselung (unter Windows) verwendet Chrome eine von Windows bereitgestellte API-Funktion, mit der die verschlüsselten Daten nur von dem Windows-Benutzerkonto entschlüsselt werden können, das zum Verschlüsseln des Kennworts verwendet wird. Ihr Master-Passwort ist also im Wesentlichen Ihr Windows-Account-Passwort. Sobald Sie mit Ihrem Konto bei Windows angemeldet sind, können diese Daten von Chrome entschlüsselt werden.

Da Ihr Windows-Kontokennwort jedoch eine Konstante ist, ist der Zugriff auf das "Master-Kennwort" nicht exklusiv für Chrome, da externe Dienstprogramme auf diese Daten zugreifen und diese auch entschlüsseln können. Mit dem frei verfügbaren Dienstprogramm ChromePass von NirSoft können Sie alle Ihre gespeicherten Kennwortdaten anzeigen und diese problemlos in eine Textdatei exportieren.

Daher ist es sinnvoll, dass, wenn das ChromePass-Dienstprogramm auf diese Daten zugreifen kann, Malware, die als der jeweilige Benutzer ausgeführt wird, auch auf diese Daten zugreifen kann. Wenn ChromePass.exe in VirusTotal hochgeladen wird, wird es von etwas mehr als der Hälfte der Antiviren-Engines als gefährlich eingestuft. In diesem Fall ist das Dienstprogramm zwar sicher, es ist jedoch etwas beruhigend zu sehen, dass dieses Verhalten zumindest von vielen AV-Paketen angezeigt wird (obwohl Microsoft Security Essentials nicht zu den AV-Engines gehört, die es als gefährlich gemeldet haben.).

Kann der Schutz umgangen werden?

Angenommen, Ihr Computer ist gestohlen und der Dieb setzt Ihr Windows-Kennwort zurück, um sich direkt bei Ihrer Installation anzumelden. Wenn sie anschließend versuchen, die Kennwörter in Chrome anzuzeigen oder das ChromePass-Dienstprogramm zu verwenden, sind die Kennwortdaten nicht verfügbar. Der Grund ist einfach, da das "Master-Passwort" (das vor Ihrem Windows-Account-Passwort zwangsweise außerhalb von Windows zurückgesetzt wurde) nicht übereinstimmt. Die Entschlüsselung schlägt daher fehl.

Wenn jemand einfach die Chrome-Kennwort-SQLite-Datenbankdatei kopiert und versucht, auf einem anderen Computer darauf zuzugreifen, zeigt ChromePass aus demselben Grund wie oben beschrieben leere Kennwörter an.

Fazit

Am Ende des Tages hängt die Sicherheit der in Chrome gespeicherten Kennwörter vollständig vom Benutzer ab:

• Verwenden Sie ein sehr starkes Windows-Kontokennwort. Beachten Sie, dass es Dienstprogramme gibt, die Windows-Kennwörter entschlüsseln können. Wenn jemand Ihr Windows-Konto-Passwort erhält, hat er Zugriff auf Ihre gespeicherten Browser-Passwörter.
• Schützen Sie sich vor Malware. Wenn Dienstprogramme einfach auf Ihre gespeicherten Kennwörter zugreifen können, warum kann Malware dies nicht tun??
• Speichern Sie Ihre Kennwörter in einem Kennwortverwaltungssystem wie KeePass. Natürlich verlieren Sie den Komfort, dass der Browser Ihre Passwörter automatisch ausfüllt.
• Verwenden Sie ein Dienstprogramm eines Drittanbieters, das in Chrome integriert ist, und verwendet ein Hauptkennwort, um Ihre Kennwörter zu verwalten.
• Verschlüsseln Sie Ihre gesamte Festplatte mit TrueCrypt. Dies ist vollkommen optional und für den Ultra-Schutz, aber wenn jemand Ihre Festplatte nicht entschlüsseln kann, kann er sicher nichts davon bekommen.

Die Quintessenz ist einfach, um Ihr System sicher zu halten, und Ihre Chrome-Passwörter sollten auch relativ sicher sein.

Laden Sie ChromePass von NirSoft herunter

Laden Sie den SQLite-Browser von Sourceforge herunter