• 媒体品牌
    爱范儿
    关注明日产品的数字潮牌
    APPSO
    先进工具,先知先行,AIGC 的灵感指南
    董车会
    造车新时代,明日出行家
    玩物志
    探索城市新生活方式,做你的明日生活指南
  • 知晓云
  • 制糖工厂
    扫描小程序码,了解更多

Chrome 疯狂的密码保存策略

公司

2013-08-08 07:59

在登录各种网站的过程中,我们常常会使用不同的用户名和密码,这会造成记忆上的负担。如果你是 Chrome 用户,在登录新网站的时候,会看到它保存密码的提示,并且很可能点了 “确定”。这样做的话,你可以自动登录各种网站,而且在不同的电脑同步,真的非常方便。不过,你是否考虑过安全问题?

或许你会想,Google 肯定把密码加密后保存在系统之中了吧,或者干脆就是保存在云端。如果是这样,准备震惊一下自己和小伙伴们吧。现实情况是,Chrome 并没有给你的密码加密,更可怕的是,任何一个人都能够看到你的密码,无需任何黑客技术。

进入设置,查看 “密码和表单” 项目,点击 “管理已保存的密码”,(或者直接访问 Chrome://settings/passwords),你会发现自己保存的所有用户名和密码。没错,密码都是以小黑点显示的。但是,如果你点击一下,就会发现在密码后面出现了 “显示” 二字,点击它,你就能看到密码了。就是这么简单。

Google 的天才工程师竟然也会犯愚蠢的错误!等等,等等,这样明显的安全漏洞不可能是错误,应该是一种功能吧?恭喜你猜对了。因为 Chrome 安全主管说,这的确是故意的,而且他们不打算做出什么改变。

软件开发者 Elliott Kember 在博客上撰文提到了这个问题,在他看来,Chrome 保存密码的策略是疯狂的。每次他向懂技术的人反映这个问题,得到的答复是这样的:

  • 用 1Pass
  • 当别人直接接触到计算机的时候,它已经不安全了
  • 密码管理就应该是这个样子的

问题是,普通用户并不知道密码是这样保存的。

找一个不懂技术的人。借用他们的电脑。访问 Chrome://settings/passwords,然后在密码行那里点击 “显示”,看看他们会怎么说。我打赌他们不会说,“密码管理就是这个样子的。”

Elliott Kember 的文章在 hackernews 上获得了很大关注,于是 Chrome 安全主管 Justin Schuh 也来回复了。

他说,Elliot Kember 完全是小白用户的看法,他们花费了多年的时间考虑这个问题,并且有大量的数据支持这个决定,在他看来,如果有人入侵了你的系统用户账号,即使再多的安全措施也是无用的。密码加密的想法虽然出自好意,但是 Chrome 团队不想给用户安全的错觉或者鼓励危险的行为。那不是他们处理安全问题的方式。

啊?

“安全的错觉”?难道普通用户会去设置里了解明文保存的事实么?如果 Chrome 明确提示说 “密码会以明文” 保存,或许用户不会有 “安全的错觉”,但在没有更多提示的情况下,用户反而会产生 “安全的错觉” 吧。另外,根据 Google 工程师的逻辑,一旦坏人进了你的家门,所有的东西都有危险,所以任何柜子都不要加锁么?古怪的逻辑,而且在现实中,安全问题一定是来自专业黑客么?

我们不知道 Google 的天才工程师是否会改变想法。但是,如果你注重安全问题的话,赶快把保存的密码全部删除,然后在 Chrome 提示你保存密码的时候,点击 “否” 吧。

图片来自 pcworld

登录,参与讨论前请先登录

评论在审核通过后将对所有人可见

正在加载中