Hoe veilig zijn uw opgeslagen Internet Explorer-wachtwoorden?

Een van de gemakkelijkste tools die browsers bieden, is de mogelijkheid om uw wachtwoorden automatisch in te vullen en in te vullen op aanmeldingsformulieren. Omdat zoveel sites accounts vereisen en het algemeen bekend is (of zou moeten zijn) dat het gebruik van een gedeeld wachtwoord een grote no-no is, is een wachtwoordbeheerder bijna essentieel.

Dus als u een IE-gebruiker bent en 'ja' antwoordt om de browser in staat te stellen uw wachtwoord te onthouden, hoe veilig is deze informatie?

Waar worden ze gered?

Vanaf Internet Explorer 7 wordt het wachtwoord opgeslagen in het systeemregister (KEY_CURRENT_USER \ Software \ Microsoft \ Internet Explorer \ IntelliForms \ Storage2) en versleuteld met het aanmeldwachtwoord van de Windows-gebruiker met behulp van de Data Protection API die gebruik maakt van Triple DES-codering.

Hoe veilig zijn deze gegevens?

Op het moment van schrijven is Triple DES praktisch onbreekbaar door middel van brute force-methoden. Het is echter niet nodig om de codering bruut te forceren zodra u bent ingelogd op het Windows-account waar uw wachtwoordgegevens worden opgeslagen, terwijl Windows ervan uitgaat dat applicaties die eenmaal zijn ingelogd veilig toegang hebben tot deze gegevens. Als gevolg van IE dat geen hoofdwachtwoord gebruikt (zoals wat Firefox biedt) om zijn opgeslagen wachtwoorden te beschermen, is het respectieve Windows-accountwachtwoord de Triple DES-decoderingssleutel.

Eenvoudig gezegd: als u zich met het account en wachtwoord bij Windows kunt aanmelden, ziet u de opgeslagen browserswachtwoorden. Met behulp van een vrij verkrijgbaar hulpprogramma zoals NirSoft's IE PassView, kunt u elk opgeslagen IE-wachtwoord bekijken en exporteren.

Dus kan malware hier toegang toe krijgen?

Nadat we hebben gezien hoe gemakkelijk het is om bij deze gegevens te komen, is de volgende logische vraag dat malware gemakkelijk bij deze gegevens kan komen. Ik ben geen ontwikkelaar van malware, maar ik zie geen enkele reden waarom het niet zou kunnen. Als ik het IE PassView-hulpprogramma scan met behulp van Virus Total, kunt u zien dat 55% van de scanners die zij gebruiken detecteren dat het malware is (een daarvan is Security Essentials).

Hoewel in ons geval het resultaat vals positief is, laat dit zien dat het mogelijk is voor een stukje malware om deze gegevens ongemerkt te openen, zelfs wanneer het systeem antivirus werkt. Omdat de gecodeerde gegevens gebruikersspecifiek zijn, wordt bovendien geen UAC-prompt geactiveerd door een toepassing die probeert toegang te krijgen tot deze gegevens. Alvorens te denken dat dit een fout is in het OS, is dit echt de manier waarop het anders moet zijn IE en een groot aantal andere Windows-toepassingen die gebruik maken van de beveiligde opslag zou een UAC-prompt activeren telkens als ze werden geopend.

Wat als mijn computer wordt gestolen?

Het eenvoudige antwoord is dat deze gegevens even veilig zijn als het wachtwoord van uw Windows-account. Zoals we hierboven hebben aangegeven, zijn al deze gegevens gemakkelijk toegankelijk wanneer u zich aanmeldt bij het account met het juiste wachtwoord. Als u geen wachtwoord gebruikt, hebt u geen bescherming.

Om een ​​stap verder te gaan, heb ik het accountwachtwoord opnieuw ingesteld om te zien wat er zou gebeuren als het wachtwoord buiten Windows krachtig werd gewijzigd. Na de reset heb ik een nieuw Gmail-adreswachtwoord (blah @) opgeslagen en IE PassView uitgevoerd. Ik kon de vorige gebruikersnaam zien (mijnnaam @) die werd opgeslagen voordat het wachtwoord werd gereset, maar omdat de accountwachtwoorden (dwz "hoofdwachtwoord") die werden gebruikt om de gegevens op te slaan, anders waren, was het niet in staat om het IE te decoderen. wachtwoord opgeslagen onder het wachtwoord van het vorige Windows-account. Dit is absoluut een goede zaak.

Conclusie

Aan het einde van de dag hangt de beveiliging van uw in IE opgeslagen wachtwoorden volledig af van de gebruiker:

• Gebruik een zeer sterk Windows-accountwachtwoord. Houd er rekening mee dat er hulpprogramma's zijn die Windows-wachtwoorden kunnen ontcijferen. Als iemand het wachtwoord van uw Windows-account krijgt, heeft hij toegang tot uw opgeslagen IE-wachtwoorden.
• Bescherm uzelf tegen malware. Als hulpprogramma's gemakkelijk toegang hebben tot uw opgeslagen wachtwoorden, waarom kan malware dan niet?
• Sla uw wachtwoorden op in een wachtwoordbeheersysteem zoals KeePass. Natuurlijk verliest u het gemak van het automatisch invullen van uw wachtwoorden door de browser.
• Gebruik een hulpprogramma van derden dat wordt geïntegreerd met Internet Explorer en een hoofdwachtwoord gebruikt om uw wachtwoorden te beheren.
• Versleutel uw gehele harde schijf met behulp van TrueCrypt. Dit is volledig optioneel en voor de ultra-beschermers, maar als iemand je schijf niet kan ontsleutelen, kunnen ze er zeker iets van krijgen.

Natuurlijk zijn beide vanzelfsprekend, maar dit versterkt gewoon het belang van het nemen van stappen om uw systeem te beveiligen.

Download IE PassView van NirSoft