¿Qué tan seguros son sus contraseñas de navegador Chrome guardadas?

Una pregunta común acerca del navegador Google Chrome es "¿por qué no hay una contraseña maestra?" Google ha tomado (extraoficialmente) la posición de que una contraseña maestra proporciona una falsa sensación de seguridad y la forma más viable de protección para esta información confidencial es a través de la seguridad general del sistema.

Entonces, ¿qué tan segura es la información de contraseña guardada en Google Chrome??

Visualización de contraseñas guardadas

Chrome incluye su propio administrador de contraseñas al que se puede acceder a través de Opciones> Cosas personales> Administrar contraseñas guardadas. Esto no es nada nuevo y si permites que Chrome te guarde las contraseñas, probablemente ya conozcas esta función..

Un buen toque de seguridad es que primero debe hacer clic en el botón Mostrar junto a cada contraseña que desee ver.

Si bien no hay restricciones para acceder a esta pantalla (es decir, si tiene acceso al escritorio donde está instalado Chrome, puede acceder a las contraseñas), al menos se requiere la intervención del usuario para ver cada contraseña sin manera de exportarlas en masa. a un archivo de texto plano.

¿Dónde se almacena la contraseña??

Los datos de contraseña guardados se almacenan en una base de datos SQLite ubicada aquí:

% UserProfile% \ AppData \ Local \ Google \ Chrome \ User Data \ Default \ Login Data

Puede abrir este archivo (el nombre del archivo es simplemente "Datos de inicio de sesión") utilizando el buscador de base de datos SQLite y ver la tabla de "inicios de sesión" que contiene las contraseñas guardadas. Notará que el campo "password_value" es ilegible porque el valor está cifrado.

¿Qué tan seguros son los datos cifrados??

Para realizar el cifrado (en Windows), Chrome utiliza una función de API proporcionada por Windows que hace que los datos cifrados solo sean descifrables por la cuenta de usuario de Windows utilizada para cifrar la contraseña. En esencia, su contraseña maestra es la contraseña de su cuenta de Windows. Como resultado, una vez que haya iniciado sesión en Windows con su cuenta, Chrome podrá descifrar estos datos..

Sin embargo, dado que la contraseña de su cuenta de Windows es una constante, el acceso a la "contraseña maestra" no es exclusivo de Chrome, ya que las utilidades externas pueden acceder a estos datos (y descifrarlos) también. Con la utilidad ChromePass de NirSoft, disponible de forma gratuita, puede ver todos los datos de contraseña guardados y exportarlos fácilmente a un archivo de texto simple.

Por lo tanto, tiene sentido que si la utilidad ChromePass puede acceder a estos datos, el malware que se ejecuta como usuario respectivo también podría acceder a ellos. Cuando el ChromePass.exe se carga en VirusTotal, poco más de la mitad de los motores antivirus lo señalan como peligroso. Si bien en este caso la utilidad es segura, es un poco tranquilizador ver que este comportamiento está al menos marcado por muchos paquetes de AV (aunque Microsoft Security Essentials no es uno de los motores de AV que lo calificó como peligroso).

¿Se puede eludir la protección??

Supongamos que su computadora es robada y el ladrón restablece su contraseña de Windows para iniciar sesión de forma nativa en su instalación. Si posteriormente intentaran ver las contraseñas en Chrome o usar la utilidad ChromePass, los datos de la contraseña no estarían disponibles. La razón es simple ya que la "contraseña maestra" (que era la contraseña de su cuenta de Windows antes de restablecerla por la fuerza fuera de Windows) no coincide, por lo que el descifrado falla.

Además, si alguien simplemente copiara el archivo de la base de datos SQLite de la contraseña de Chrome e intentara acceder a él en otra computadora, ChromePass mostraría las contraseñas vacías por la misma razón explicada anteriormente.

Conclusión

Al final del día, la seguridad de las contraseñas guardadas de Chrome depende totalmente del usuario:

• Utilice una contraseña de cuenta de Windows muy fuerte. Tenga en cuenta que existen utilidades que pueden descifrar las contraseñas de Windows. Si alguien obtiene la contraseña de su cuenta de Windows, tendrá acceso a las contraseñas de su navegador guardadas..
• Protégete del malware. Si las empresas de servicios públicos pueden acceder fácilmente a sus contraseñas guardadas, ¿por qué no puede el malware??
• Guarde sus contraseñas en un sistema de administración de contraseñas como KeePass. Por supuesto, pierde la conveniencia de que el navegador complete automáticamente sus contraseñas.
• Use una utilidad de terceros que se integra con Chrome y usa una contraseña maestra para administrar sus contraseñas.
• Cifre todo su disco duro utilizando TrueCrypt. Esto es completamente opcional y para el ultra protector, pero si alguien no puede descifrar su disco, seguramente no podrá sacar nada de él..

La conclusión es simplemente mantener su sistema seguro y sus contraseñas de Chrome también deben ser razonablemente seguras..

Descargar ChromePass desde NirSoft

Descargar el navegador SQLite desde Sourceforge