Chrome自动记忆功能,让密码大走光

Chrome自动记忆功能,让密码大走光

在登录各种网站的过程中,我们常常会使用不同的使用者名和密码,这会造成记忆上的负担。如果你是 Chrome 使用者,在登录新网站的时候,会看到它保存密码的提示,并且很可能点了「确定」。这样做的话,你可以自动登录各种网站,而且在不同的电脑同步,真的非常方便。不过,你是否考虑过安全问题?

或许你会想,Google 肯定把密码加密后保存在系统之中了吧,或者乾脆就是保存在云端。如果是这样,準备吓一跳吧。真实情况是,Chrome 并没有为你的密码加密,更可怕的是,任何一个人都能够看到你的密码,无需任何骇客技术。

进入「设定」,查看「密码和表单」项目,点击「管理系统储存的密码」,,你会发现自己保存的所有使用者帐号和密码。没错,密码都是以小黑点显示的。但是,如果你点击一下,就会发现在密码后面出现了「显示」二字,点击它,你就能看到密码了。就是这幺简单。

Google 的天才工程师竟然也会犯愚蠢的错误!等等,等等,这样明显的安全漏洞不可能是错误,应该是一种功能吧?恭喜你猜对了。因为 Chrome 资安主管说,这的确是故意的,而且他们不打算做出什幺改变。

软体开发者 Elliott Kember 在部落格上撰文提到了这个问题,在他看来,Chrome 保存密码的策略是疯狂的。每次他向懂技术的人反映这个问题,得到的答覆是这样的:

问题是,普通使用者并不知道密码是这样保存的。

Elliott Kember 的文章在 hackernews 上获得了很大关注,于是 Chrome 资安主管 Justin Schuh 也来回覆了。

他说,Elliot Kember 完全是小白使用者的看法,他们花费了多年的时间考量这个问题,并且有大量的数据支撑这个决定,在他看来,如果有人入侵了你的系统使用者帐号,即使再多的安全措施也是无用的。密码加密的想法虽然出自好意,但是 Chrome 团队不想给使用者安全的错觉或者鼓励危险的行为。那不是他们处理安全问题的方式。

啊?

「安全的错觉」?难道普通使用者会去设置里了解明文保存的事实幺?如果 Chrome 明确提示说「密码会以明文」保存,或许使用者不会有「安全的错觉」,但在没有更多提示的情况下,使用者反而会产生「安全的错觉」吧。另外,根据 Google 工程师的逻辑,一旦坏人进了你的家门,所有的东西都有危险,所以任何柜子都不要加锁吗?古怪的逻辑,而且在现实中,安全问题一定是来自专业骇客吗?

我们不知道 Google 的天才工程师是否会改变想法。但是,如果你注重安全问题的话,赶快把保存的密码全部删除,然后在 Chrome 提示你保存密码的时候,点击「否」吧。