ブラウザプラグイン/アドオンは私のパスワードにアクセスできますか？

Question

多くのブラウザ拡張機能とプラグインが「すべてのデータ」へのアクセスを必要とするケースがますます増えています（ChromeとFirefoxの両方。InternetExplorerについてはコメントしません）。

これらのプラグインやアドオンにアクセスしたときに、銀行のデータにアクセスしたり、フォームから送信されたデータにアクセスしたりできるかどうか疑問に思っています。

アドオンのセキュリティへの影響は何ですか？

Bobby · Accepted Answer

この投稿は、FirefoxとChromium/GoogleChromeにのみ適用されます。 Internet Explorer、Opera、またはモバイルブラウザについてはコメントできません。また、私の計算は間違っている可能性がありますが、基本的な考え方は正しいです。

もちろん、これは可能ですが、FirefoxとChrome/Chromiumの場合はほとんどありません。

私のパスワード（ブラウザに保存されている）は安全ですか？

この答えは私のお気に入りの1つです：それは状況によって異なります。ブラウザによって保存されるパスワードは、1つの重要な条件を満たす必要があり、セキュリティの観点から、悪夢のような条件です。 plaintext であるか、プレーンテキストに戻すことができる必要があります。

平文vs.暗号化vs.ハッシュ

なぜそれが悪いのですか？さて、誰かがサーバーに侵入してパスワードデータベースを盗んだと想像してみてください。 2つの可能な結果があります：

パスワードはプレーンテキスト（または簡単に元に戻すことができる）であるため、クラッカーはすべてのアカウントに完全にアクセスできるようになりました。
パスワードは hashed （または暗号化）であり、パスワードを取得するにはハッシュに対するブルートフォース攻撃が必要です。アカウントへのアクセス。ユーザー名とパスワードが盗まれた今でも、アカウントは安全です。

ブラウザはパスワードをWebサイトに送信できる必要があるため、hashパスワードを送信できず、 のみを送信できます。/encrypt それら（またはプレーンテキストとして保存することもできます）。これは常に心に留めておくべきことです（電子メールクライアント、チャットアプリケーションなどにも同じことが言えます）。

暗号化されているからといって、安全というわけではありません

Firefoxでは、デフォルトでパスワードを保存できます。また、それらを暗号化します。同じことがChromiumにも当てはまります（補遺"まあ、状況によって異なります..."を参照）。これに伴う問題は、復号化のキーもパスワードとともに保存されることです。これにより、パスワードが必要な人にとって暗号化が少し不便になり、パスワードを停止することはありません。

次に、パスワードと一緒にキーを保存しないでください！

そうです、パスワードをsaferにするには、暗号化されたパスワードからキーを取得する必要があります。これはFirefoxでMaster Passwordを設定することで実行されます。これは、すべてのパスワードの暗号化と復号化に使用されます。この手法を使用すると、暗号化されたデータからキーを分離できます。これは常に良い考えです（結局のところ、玄関の鍵を前のフックに置いたままにしないでください）。外側のドアですよね？）.

パスワードはあなたがそれらを作るのと同じくらい安全です

では、なぜパスワードはsaferであり、safeではないと言ったのですか？これで、パスワードの安全性は、選択したパスワードに依存するためです。つまり、パスワード「asdf」は決して安全であると見なされるべきではありません。どちらも「12345」ではありません。ブルートフォーシングにはかなりの時間がかかるため、適切なパスワードはlongです。パスワード「VioletIsAnotherColor」は、2番目に特殊文字が含まれているにもかかわらず、その長さのために「D0！l4riZe」よりも技術的に安全です。それを簡単に見てみましょう。

「VioletIsAnotherColor」
長さ：20
可能な文字：52（26小文字+ 26大文字）

「D0！l4riZe」
長さ：9
可能な文字：77（下位26文字+上位26文字+10桁+15スペシャル）
スペシャル：！ "@ $％＆/（）=？* +＃-

では、文字セットと長さを知って、これらのパスワードを破るのに何回試行する必要がありますか？

「VioletIsAnotherColor」
52²⁰ = 〜20 decillion（〜2×10³⁴）

「D0！l4riZe」
77⁹ = 〜95兆（〜9×10¹⁶）

ご覧のとおり、後者のパスワードは、文字セットが広いにもかかわらず、限られたセットの長いパスワードよりもブルートフォース攻撃が容易です。これは長さによるものです。（もう1つの利点は、最初の質問の方が覚えやすいことです。）この問題の詳細については、このITセキュリティの質問を参照してください。

したがって、可能であれば、パスワードではなくパスフレーズを使用してください。

トピックに戻りますが、なりすましアドオンからのパスワードはどの程度安全ですか？

彼らはそうではありません。これは、アドオンがアクセスしたばかりのWebサイトにアクセスできるためです。入力したパスワードなど、そこから情報を抽出できます。アドオンは、インストールされている他のソフトウェアと同様にセキュリティリスクです。信頼できるアドオンのみをインストールしてください。

すごい！どうすればそれを知ることができますか？

信頼できるソースからのアドオンのみをインストールしてください。 Firefoxの場合はアドオンページ、Chromiumの場合は Chromeウェブストア、または作成者/ディストリビューターを信頼している場合。どちらも、アドオンがチェックされ、安全であることを保証します。

Mozillaアドオンページも Chromeウェブストアも、アドオンが安全であることを保証するものではありません。彼らは、悪意のあるアドオンをキャッチするかもしれないし、キャッチするかもしれない自動レビュープロセスを採用しています。結局のところ、まだリスクが残っています。

youが信頼するソースからのみアドオンをインストールします。

ちょっと待って;インストールされている他のソフトウェアについて言及しましたか？

もちろん！インストールされている他のソフトウェアがブラウザからパスワードを取得したり、man-in-the-middle攻撃を実行したり、銀行のWebサイトを偽装するプロキシを提供したりすることを妨げるものは何もありません。ブラウザプラグインについても同じことが言えます。経験則は次のとおりです。信頼できないソフトウェアをインストールしないでください。

結論

これから何を取り除くべきですか？

信頼できないソフトウェア/プラグイン/アドオンは絶対にインストールしないでください。
それでも疑問がある場合は、マスターパスワードを設定してください。
それでも疑問がある場合は、ブラウザをパスワードで信頼しないでください。パスワードを保存しないでください。
stillが疑わしい場合は、アドオン/プラグインをインストールしないでください。
stillが疑わしい場合は、ライブシステムを使用してください。これは改ざんできません。

補遺：「まあ、それは依存します...」

私が学んだように、この段落での私の仮定は100％正しいわけではないので、それを訂正したいと思います。以下の情報は、ディスクへのパスワードの保存にのみ適用されます。

Google Chrome/Chromium

実際にはdoes実行しているオペレーティングシステムに応じて、パスワードを安全な方法でディスクに保存します。

マイクロソフトウィンドウズ

Microsoft Windows API CryptProtectData/CryptUnprotectDataは、パスワードの暗号化/復号化に使用されます。このAPIはOSアカウントのパスワードで機能するため、そのパスワードと同じくらい安全です。

マックOS

MacOSのレイヤーは、現在のユーザーのキーチェーンのパスワードに基づいてランダムなキーを生成し、そのキーをキーチェーンに追加します。繰り返しますが、これはユーザーのパスワードと同じくらい安全です。

Linux

さて...それについては話さないでください。

さて、あなたが知る必要があるならば、それは私が仮定したことを正確に行います：それはハードコードされたパスワードでデータを保存します。なぜそうなのですか？他の2つのシステムへの方法で暗号化されたデータを処理するためのcommonインフラストラクチャがないという理由だけで。いいえ、Linuxには暗号化システムやセキュリティが欠けていると言っただけではありません。ユーザースペースで利用可能なキーリング/キーチェーンおよびパスワードストレージソリューションがたくさんあります。どうやら、Chrome開発者はそれらの1つを使用しないことに決めました。「なぜ？」は私が答えることができる質問ではありません。

Firefox

パスワードと一緒に保存される生成されたキーを常に使用します。例外は、マスターパスワードを設定した場合、これはalsoが使用されます。