下载客户端
下载客户端
关于我们 寻求报道 加入我们
公司 2013-8-08 07:59

Chrome 疯狂的密码保存策略

在登录各种网站的过程中,我们常常会使用不同的用户名和密码,这会造成记忆上的负担。如果你是 Chrome 用户,在登录新网站的时候,会看到它保存密码的提示,并且很可能点了“确定”。这样做的话,你可以自动登录各种网站,而且在不同的电脑同步,真的非常方便。不过,你是否考虑过安全问题?

或许你会想,Google 肯定把密码加密后保存在系统之中了吧,或者干脆就是保存在云端。如果是这样,准备震惊一下自己和小伙伴们吧。现实情况是,Chrome 并没有给你的密码加密,更可怕的是,任何一个人都能够看到你的密码,无需任何黑客技术。

进入设置,查看“密码和表单”项目,点击“管理已保存的密码”,(或者直接访问 Chrome://settings/passwords),你会发现自己保存的所有用户名和密码。没错,密码都是以小黑点显示的。但是,如果你点击一下,就会发现在密码后面出现了“显示”二字,点击它,你就能看到密码了。就是这么简单。

Google 的天才工程师竟然也会犯愚蠢的错误!等等,等等,这样明显的安全漏洞不可能是错误,应该是一种功能吧?恭喜你猜对了。因为 Chrome 安全主管说,这的确是故意的,而且他们不打算做出什么改变。

软件开发者 Elliott Kember 在博客上撰文提到了这个问题,在他看来,Chrome 保存密码的策略是疯狂的。每次他向懂技术的人反映这个问题,得到的答复是这样的:

  • 用 1Pass
  • 当别人直接接触到计算机的时候,它已经不安全了
  • 密码管理就应该是这个样子的

问题是,普通用户并不知道密码是这样保存的。

找一个不懂技术的人。借用他们的电脑。访问 Chrome://settings/passwords,然后在密码行那里点击“显示”,看看他们会怎么说。我打赌他们不会说,“密码管理就是这个样子的。”

Elliott Kember 的文章在 hackernews 上获得了很大关注,于是 Chrome 安全主管 Justin Schuh 也来回复了。

他说,Elliot Kember 完全是小白用户的看法,他们花费了多年的时间考虑这个问题,并且有大量的数据支持这个决定,在他看来,如果有人入侵了你的系统用户账号,即使再多的安全措施也是无用的。密码加密的想法虽然出自好意,但是 Chrome 团队不想给用户安全的错觉或者鼓励危险的行为。那不是他们处理安全问题的方式。

啊?

“安全的错觉”?难道普通用户会去设置里了解明文保存的事实么?如果 Chrome 明确提示说“密码会以明文”保存,或许用户不会有“安全的错觉”,但在没有更多提示的情况下,用户反而会产生“安全的错觉”吧。另外,根据 Google 工程师的逻辑,一旦坏人进了你的家门,所有的东西都有危险,所以任何柜子都不要加锁么?古怪的逻辑,而且在现实中,安全问题一定是来自专业黑客么?

我们不知道 Google 的天才工程师是否会改变想法。但是,如果你注重安全问题的话,赶快把保存的密码全部删除,然后在 Chrome 提示你保存密码的时候,点击“否”吧。

图片来自 pcworld

有好的产品或者项目希望我们报道,猛戳这里 寻求报道

文章评论(-)
后参与讨论
正在加载中

LG 新旗舰 G2:超窄边框,及其带来的烦恼

2013-8-08 09:17下一篇

日本手机步上相继倒下的节奏?

2013-8-08 06:30上一篇