Gestione delle password in Firefox, Chrome e Safari

Qui ci sono due problemi correlati ma distinti: che Chrome può recuperare le password senza un'autenticazione aggiuntiva e che le visualizza su richiesta. Entrambi Elliott Kember e Tim Berners-Lee confonde questi problemi.

Che Chrome sia in grado di recuperare le password senza chiedere all'utente di utilizzare un sistema operativo per archiviare le password. Spetta alla struttura del sistema operativo organizzare l'autenticazione dell'utente o richiedere un'autorizzazione nel momento in cui viene richiesta o meno la password. Crittografare le password memorizzate non è più il lavoro del browser che fornire storage di file o uno stack di rete: questo è fatto dal sistema operativo e avvantaggia tutte le applicazioni, non solo l'unico browser. Gli utenti possono configurare criteri di conservazione e accesso nell'applicazione portachiavi e tali impostazioni possono essere applicate agli elementi archiviati per applicazioni diverse da Chrome (altri browser, memoria condivisa di rete, FTP, SSH, PGP, ...).

Tim Berners-Lee sembra sostenere i browser per implementare una funzionalità di crittografia della password in cima al sistema operativo. Quello è falso: perché dovrebbe farlo un browser? Firefox lo fa perché Mozilla lo fa perché Netscape lo fa perché è stato scritto per i sistemi operativi primitivi che non avevano tale caratteristica. C'è anche un vantaggio per il browser che implementa la propria archiviazione di password, ovvero che un profilo può essere copiato tra piattaforme complete di password memorizzate. Questo deve essere bilanciato dal lato negativo del browser che implementa la propria memorizzazione delle password, che rompe le aspettative degli utenti che credono che i loro segreti siano protetti dal sistema operativo. Se inserisco password in OSX, mi aspetto che vengano archiviate nel mio portachiavi, protetto dalla stessa protezione del portachiavi (crittografia su disco con password principale, inaccessibilità quando lo schermo è bloccato, ...). Se il mio browser non utilizza questa protezione, si tratta di una violazione imprevista della fiducia da parte sua.

Se un browser memorizza le password, deve essere in grado di recuperarle. Se il browser può recuperarli, così può qualsiasi altra applicazione. Quindi, quando Elliott Kember si lamenta che "non c'è una password principale, nessuna sicurezza", questo è un assurdità. Le password sono già nel portachiavi e qualsiasi applicazione può recuperarle. Chrome non sta violando alcuna sicurezza qui: rappresenta onestamente quali informazioni sono disponibili. Elliott Kember afferma che la mancanza di scelta è "profondamente fuorviante", ma è completamente sbagliato: Chrome non ha più possibilità di essere in grado di accedere alle password di quanto tu abbia una scelta di non essere in grado di sentire quando qualcuno ti sta dicendo qualcosa a voce alta. potresti tappare le orecchie e cantare "lalalala" a voce alta, ma ciò non cambierà il fatto che tu potresti essere in grado di ascoltare.

Elliott Kember riconosce che "il computer è già insicuro non appena si dispone dell'accesso fisico" e "è così che funziona la gestione delle password". Bene, precisamente. Chrome è trasparente, il che va esattamente contro la sua affermazione secondo cui "Google non è sicuro della sua sicurezza della password". Chrome è perfettamente onesto: può accedere alle password e non nasconde questo fatto agli utenti.

Elliott Kember sta sostenendo che Chrome offra agli utenti un falso senso di sicurezza. È noto che un falso senso di sicurezza è il nemico della sicurezza. Justin Schuh ha ragione.

Tim Berners-Lee fa un altro punto. Riconosce che è possibile recuperare le password, e può essere fatto scaricando una semplice applicazione se nessuno dei software installato sul computer può farlo facilmente. Tuttavia, egli sostiene che questa capacità non dovrebbe essere resa facilmente accessibile in un'applicazione dall'aspetto legittimo, perché ciò fa sembrare che guardare le password di qualcun altro sia in qualche modo legittimo.

Anche se questo ha senso, in realtà non regge l'acqua. Se stai scavando attorno al profilo di qualcun altro, stai chiaramente ficcanaso. La password di qualcuno non è più riservata della loro cronologia di navigazione. Le persone non tecniche sono più inclini a condividere la propria password rispetto alla cronologia di navigazione, e questo era già il caso prima di Chrome.

L'unica misura di sicurezza che Chrome dovrebbe implementare non rischia di rivelare accidentalmente le password quando l'utente legittimo ha il controllo. E lo sta già facendo: devi fare clic su un pulsante per mostrare ogni password.

Quindi Chrome lo sta facendo bene. Continua a fare quello che stai facendo.

Le migliori pratiche di sicurezza consistono nel proteggere l'account del computer con una password, bloccare lo schermo quando è incustodito e non consentire mai a nessun altro di utilizzare il proprio account. Se segui questa best practice, il modello di Chrome ha molto senso. Le tue password salvate sono sicure quanto il tuo account utente - non di più; non meno.

Naturalmente, nella vita reale le persone non seguono questa best practice sulla sicurezza. Da qui il desiderio di implementare alcune tecnologie per rendere le tue password salvate più sicure rispetto al tuo account utente. C'è qualche merito a questo, ma c'è un grosso problema: se qualcuno ha accesso al tuo account computer, tutte le scommesse sono disattivate. Possono installare malware che funziona in modo invisibile in background, monitora tutto ciò che fai e consente il controllo remoto degli attaccanti. Naturalmente, per fare ciò è necessario un certo livello di abilità tecnica.

Quindi, in ultima analisi, la decisione di implementare protezioni aggiuntive è un compromesso tra la protezione contro gli aggressori non qualificati e il dare un falso senso di sicurezza contro gli abili aggressori. Non penso che ci sia un giusto o sbagliato qui - entrambi i campi possono giustificare il loro punto di vista.

Per rispondere alle tue domande specifiche:

1) Se l'attaccante ha accesso all'account dell'utente (ad esempio nessun blocco schermo), allora è moderatamente difficile. Devono installare malware che esegua il log delle chiavi nella successiva voce della password e estrarre anche il file delle password salvate crittografato.

2) Quindi, se l'utente malintenzionato non ha accesso all'account dell'utente, questo dipende da quanto bene il sistema operativo protegge quell'account. Se la protezione è solida, l'autore dell'attacco non può accedere alle password salvate.