Vlákno názorů k článku Hesla uložená v prohlížeči Chrome lze získat „až překvapivě snadno“ od pepazdepa - Je zajímavé, že autor článku by se jistě...

Je zajímavé, že autor článku by se jistě rozčiloval, kdyby narazil na aplikaci (nebo dokonce na OS), která/ý by umožnil změnu hesla bez znalosti původního, a přitom jde o stejnou primitivní příčinu a důsledek (pár vteřin u cizího nezamčeného PC, a nabourání nebo převzetí identity).

"převzít identitu může rovnou"
- Ano, v případě, že jste pořád někam přihlášený, ale: NA JEDNU JEDINOU SESSION.
Je to stejné, jako odposlechnutí session cookies (pokud je samozřejmě alespoň přihlášení a změna hesla přes TLS) - a to ještě v případě, kdy se aplikace v kódu nebrání (pomocí regenerace session id nebo provázání s IP např.).

Pravda. Všem říkám, ať to nedělají, a tuto funkci jsem si tedy teď v mozku nedostatečně poskládal :-)
Ale pořád je něco jiného znalost hesla, a "jen" přihlášení se s ním. Takový vteřinový "útočník" spíš nebude mít čas se zabývat aplikacemi nad sosáním hesel za hvězdičkama nebo prostým debuggováním přihlášení, protože i to je přece jenom vyšší level než ten nultý, zobrazit si je. Přihlásit se někam postupně, a tam rarašit, a nebo si pár kliknutími myší pro přehled zviditelnit všechno, a to tedy i pro budoucnost, aniž bych musel jakkoliv dál hnout brvou, je prostě rozdíl.

Speciálně u Chromu to ale není žádný překvapení. Ten neumožňuje nastavit nic, kromě prohlížení stránek i neumí nic, takže by bylo fakt překvapení, kdyby umožnil nastavit něco, nebo dokonce i něco uměl (než se cpát BFU s právy Users do jejich profilové složky, na čemž rejžuje počty stažení a kecy o největší rozšířenosti, byť admini daná PC spravující z toho mají osypky to furt od tohoto kvalitativního plevelu čistit).

Kdyz neni admin jouda, tak nainstaluje uzivatelum enterprise verzi Chromu, ktera se uz samozrejme instaluje do spravne slozky pro vsechny uzivatele. Navic pak muze sikovny admin i snadno ridit aktualizace.

Předpokládám, že Firefox při užití master password přihlašovací údaje šifruje. Tedy pak se k nim nelze snadno dostat spuštěním neslušné aplikace. Obecně platí, že hesla se nemají nikde válet v plaintextu. Pokud chrome nemá možnost hesla šifrovat, tak je to chyba a proti Firefox mínus...

Předpokládám, že Firefox při užití master password přihlašovací údaje šifruje.
- Ano. http://luxsci.com/blog/master-password-encryption-in-firefox-and-thunderbird.html

Jenom skoda, ze neumi sifrovat i vse ostatni (v defaultu, predpokladam, ze na to mozna nejaky plugin bude). Protoze mnohe se da ziskat i z historie, bookmarku ...

Ak si správne spomínam, tak Chrome (Windows verzia) ukladá heslá do nejakého Windowsového úložiská, ktoré je šifrované a odomyká sa prihlásením do Windows (takže tie heslá sú dostupné pre prihláseného užívateľa, ale po odhlásení, a možno aj pri uzamknutí) dostupné nie sú.

Bych rek ze si to pletete, windows zadne uloziste pro hesla nema, ma uloziste pro certifikaty.

Pokud se mi někdo dostane k seznamu hesel přes zpřístupněný Chrome, pak si hesla opíše a dále už je může použít odkudkoliv. Irelevantní to tedy určitě není. Pokud nechám někde trvale otevřený chrome, pak má většinou útočník omezený čas na to aby převzal moji identitu. Poté musí místo napadení opustit. Se získanými hesly mu ale nic nebrání otevřít si zaheslované weby odkudkoliv s ukradenými hesly a po neomezený čas. Má navíc reálnou šanci, že se dostane i do samotného chrome nebo na jiné weby, které nejsou součástí seznamu hesel v nastavení chrome a to z prostého důvodu, že mnoho uživatelů používá na na různé weby a služby jedno nebo pár stejných hesel. To jedno nebo těch pár získá z chrome a pak se nabourá kamkoliv prostým zkoušením.

Hesla v jakémkoliv systému jsou zabezpečena až tehdy pokud k nim nemá přístup ani samotný správce serveru. Ten má uložena hesla pouze v šifrovaném stavu a pokud uživatel heslo zapomene je možný pouze reset hesla po kterém si uživatel nastaví heslo znovu a to se uloží opět šifrovaně. Zde ale Chrome působí coby služba, která zneužije důvěry svých uživatelů a vydoluje z nich hesla na cizí služby tak, aby šla přečíst v případě hrubého útoku i v otevřeném tvaru. To je bezpečnostní riziko jako sviňa.

Google by měl tuto funkci okamžitě zrušit. Ani heslo na otevření hesel není řešení. Hesla by měla být prostě stále pod hvězdičkami. Pokud chce uživatel znát uložené heslo na svůj web, měl by primárně požádat o reset hesla u konkrétní služby, kde heslo zapomněl a nelézt do nastavení chrome, aby si jej připomněl. Google tak neškodí jen bezpečnosti uživatele ve vztahu k své službě ale narušuje touto zhovadilostí bezpečnost mnoha dalších služeb jiných stran, které uživatel využívá.

Už to tu padlo - normální je, že hesla se neukládaji v plaintextu. Je to opravdu lepší a věřím, že na případy, kdy to pomůže přijdete sám...

Počítač je normální při odskoku od něj zamykat.

U https Vám přesměrování provozu nepomůže (pokud uživatel není ignorant).

Tvrdíte, že je Chrome nějak šifruje? A jakým klíčem? Pokud jsou uložena například v sqlite tak to považuji za plaintext. Že o tom není řeč? Pokud jsou ovšem hesla uložena v čitelné podobě tak to je právě to o čem řeč má být.

Win8 umí zadávané heslo zobrazit - zrovna nedávno se mi to hodilo, když se mi zasekla jedna klávesa a já už panikařil z toho, že ani na 10. pokus se nemůžu přihlásit :)
Zrušit hvězdičky trvale ale podle mě není dobrý nápad, to by kterýkoli "kolemjdoucí" heslo snadno okoukal.

Master heslo nic neřeší. Zapomenu heslo ? NECHCI HO PROBOHA OD NĚKOHO PŘIPOMÍNAT V OTEVŘENÉM TVARU. Dokonce ani sám od sebe z nastavení chrome protože mi do přihlášeného chrome může někdo vlézt. Pokud heslo zapomenu požádám příslušný server o jeho reset, nastavím si heslo nové a jedu dál.