Sou um usuário Lastpass e muitas vezes pensei em mudar para o Gerenciador de Credenciais, para sincronização automática e um certo conforto com o ambiente windows. A única coisa que estou preocupado é a sua segurança. Ouvi dizer que é muito fácil para alguém acessar essas credenciais depois de obter acesso ao seu computador, não é?
Devo ficar com o Lastpass e talvez verificar no futuro por eventuais melhorias?
Comentários
- Posso dizer que qualquer O processo elevado pode simplesmente buscar suas credenciais na loja e recuperá-las em texto simples. Isso ' é tudo o que posso contribuir com confiança.
- @TechnikEmpire, nossa, bem … melhor ficar longe dele então
- Certamente . Mesmo ainda com a documentação do aplicativo universal oficial do Windows 10, eles promovem a loja como um local seguro. É ' apenas " seguro " se você confiar na máquina do usuário e em cada processo que sempre será executado nele. Na verdade, existe ' s até uma biblioteca C # que permite obter os valores de texto simples em 10 linhas de código ou menos. A única maneira de ' d usar isso é armazenando uma versão pré-hash da senha em vez da senha real e só preciso verificar o hash localmente.
- Eu coloquei em uma resposta, porque ninguém mais fez. 🙂
Resposta
O Windows Credential Manager é tudo menos seguro. É “seguro” no nível da conta do usuário, o que significa que qualquer processo que o usuário execute e o próprio usuário deve necessariamente ser confiável para chamar este sistema de “seguro” com uma cara séria.
A única maneira semi-segura de usar o Gerenciador de Credenciais do Windows é armazenar valores pré-hash e, em seguida, verificar esses hashes. No entanto, como qualquer processo elevado que o usuário executa tem capacidade total de leitura / gravação no armazenamento de credencial desse usuário, ele simplesmente não pode ser confiável.
Vamos pensar em “seguro” no sentido de bloquear um aplicativo localmente. Vejamos o exemplo de um filtro de conteúdo que bloqueia a página de configurações para evitar que as crianças habilitar conteúdo adulto, usando o Credential Manager para armazenar credenciais personalizadas. O mesmo usuário, tentando contornar isso, pode fazer isso facilmente. Um usuário pode visitar o Gerenciador de Credenciais no Painel de Controle e, embora os valores apareçam em asteriscos (*****), ele pode simplesmente apagar o valor e substituí-lo. Exclua seu hash, insira os próprios em que eles estão.
O que é ainda mais bobo é que o painel de controle mostrará asteriscos, mas se você usar um código para acessar as APIs aplicáveis, poderá obter os valores em texto simples. Portanto, as senhas não são seguras, hashes e coisas do tipo que você verifica para bloquear algo não são seguros. Não é seguro, é um lixo e lutei por muito tempo para entender sua utilidade, exceto para a Microsoft aparentemente ter cópias em texto simples de todas as suas senhas que podem vender para a NSA.
Observação
Sei que existem medidas que você pode tomar para criptografar o conteúdo antes de armazená-los, fazer hash deles corretamente etc., mas minha crítica ainda se aplica porque fazer essas coisas adicionais é criar segurança, não o Windows Gerenciador de credenciais. Meu problema com o Gerenciador de credenciais do Windows é que ele anuncia que usá-lo por meio de sua GUI e / ou API fornecida é seguro.
Comentários
- Você não ' não precisa implantar sua própria proteção ao usar o Gerenciador de credenciais. Os aplicativos devem usar DPAPI ' s " entropia adicional " par parâmetro ao armazenar dados seguros, como senhas. Essa entropia adicional é basicamente uma string ou senha mestra que não deve ser armazenada em lugar nenhum. O usuário deve inserir essa senha dentro do aplicativo para que o aplicativo possa recuperar os dados descriptografados. Esses dados no Credential Manager estão protegidos contra processos invasores, exceto keyloggers ou comprometimento de baixo nível. É ' chocante que o Internet Explorer não ' use uma senha mestre / entropia adicional.
- O que ' s ainda pior é que o Outlook ainda está usando o Gerenciador de credenciais em Credenciais genéricas se o usuário optar por lembrar seu login.
- sua resposta não é baseada em fatos, é escrito subjetivamente (com uma cara séria, etc). O usuário A pode acessar as credenciais para o usuário A, mas não para o usuário B. O conteúdo do cofre é criptografado, mas as chaves mestras são supostamente possíveis de extrair quando se busca uma resposta melhor para uma pergunta semelhante: security.stackexchange.com/a/177686
- en.wikipedia.org / wiki / Data_Protection_API Tudo é criptografado. A segurança é tão boa quanto a senha da sua conta.
- Eu concordo com Yepeekai. Se você executar um aplicativo com privilégios elevados, ele também pode instalar um key logger, malware, apagar todo o seu PC, criptografar seus dados para resgate, etc. Não execute nenhum aplicativo que você don ' t 100% de confiança como administrador. SEMPRE. Se você precisar executar aplicativos aleatórios como administrador, faça isso com segurança dentro de uma VM ou contêiner, onde o aplicativo teria que pular da VM para roubar suas senhas.
Resposta
Ouvi dizer que é “muito fácil para alguém acessar essas credenciais depois de obter acesso ao seu computador, é assim?
Não é assim.
As senhas armazenadas em seu cofre de credenciais são (no final das contas) criptografadas com sua senha do Windows. Para acessar as credenciais criptografadas, eles precisam saber sua senha.
- se alguém souber sua senha LastPass, eles podem acessar suas senhas criptografadas armazenadas
- se alguém souber sua senha do Windows, pode acesse suas senhas criptografadas armazenadas
Mas se alguém obteve acesso ao seu computador:
- eles não pode acessar suas senhas LastPass (porque elas “são criptografadas)
- elas não podem acesse suas senhas do Vault (porque elas são criptografadas)