Браузеры хранят в памяти конфиденциальные данные в открытом виде и их легко заполучить

Исследователь безопасности компании CyberArk Зеев Бен Порат (англ. Zeev Ben Porat) обнаружил, что пароли и файлы cookie можно извлечь из памяти даже без повышенных прав.

Многие пользователи уделяют внимание безопасности своих устройств и, в частности, безопасности интернет браузеров. В ход идёт множество средств, но всё может быть напрасно, если программа с вредоносным кодом будет запущена в системе из-под учётной записи пользователя. Злоумышленнику не нужен физический доступ и даже повышенные права, он может украсть базы данных браузера и извлечь информацию оттуда, некоторые браузеры шифруют базы, но, если вредоносный код выполняется из-под учётной записи пользователя, ключ шифрования тоже можно заполучить. Как оказалось, существует ещё один способ, и он может быть даже проще.

Исследователь безопасности компании CyberArk Зеев Бен Порат (англ. Zeev Ben Porat) обнаружил, что браузеры хранят в памяти конфиденциальные данные в открытом виде, сообщает ресурс gHacks и автор блога Borncity. Пароли и сеансовые файлы cookie находятся в памяти в виде обычного текста. Первоначально это открытие было сделано в браузере Chrome, но похоже, что затронуты все браузеры на основе Chromium, а также Mozilla Firefox. Извлечь данные может любой процесс с доступом к памяти Chrome через API OpenProcess и ReadProcessMemory, повышенные права не нужны. Кроме паролей и cookie-файлов текущих сеансов, в память можно загрузить все пароли из диспетчера паролей.

Исследователь уведомил об этом разработчиков Google, однако исправлять ситуацию не будут, поскольку физические локальные атаки рассматриваются вне модели угроз Chrome, защититься невозможно, если злоумышленник хозяйничает в системе от имени пользователя.

Авторы ресурсов проверили эту информацию и действительно смогли получить доступ к своим паролям с помощью утилиты ProcessHacker, с cookie файлами ситуация сложнее, похоже над их дополнительной защитой всё таки работают, ведь при краже cookie файла не защитит даже многофакторная аутентификация. Остаётся очень серьёзно относиться к тому, что вы скачиваете и устанавливаете на свой компьютер. Стоит ознакомиться со статьей специалиста в блоге CyberArk, для продвинутых пользователей там описаны методы защиты.

Эка новость!

А теперь вспоминаем, что новые винды любят гибернацию вместо полноценного выключения и хранят снимок ОЗУ на диске. Вуаля -- АНБшники легко получают логины-пароли от интернет-учёток неугодных граждан, просто изъяв диск и проанализировав этот файл. И выбивать пароли не нужно. Вот она, американская демократия в действии!

Смотря на сколько опытный сам, чтобы лишнее не высматривали...

Это собственно не новость лет 10 уже ничего не меняется, WebBrowserPassView вам в помощь с 2011 года. Это надо писать так: юный и неопытный ламер, непонятно как и почему всё еще работающий в компании "...." и выдающий себя за эксперта, обнаружил факт, который всем давно известен и даже смог о нем что-то написать

dreamminer писал(а):

Это собственно не новость лет 10 уже ничего не меняется, WebBrowserPassView вам в помощь с 2011 года. Это надо писать так: юный и неопытный ламер, непонятно как и почему всё еще работающий в компании "...." и выдающий себя за эксперта, обнаружил факт, который всем давно известен и даже смог о нем что-то написать

Файл с паролями изначально не защищён ибо никто не додумается красть файл Login Data по этому его можно открыть обычным notepad++ ситуация с куки немного сложнее.

Надобность виртуальных машин сильно повысилась..

мда-с
получается, что выходить в интернет всем было давно противопоказано вообще и домохозякам в частности.

получается, что в интернет могут выходить только люди со специальным проф програмистским и прочим айтишным как говорят образованием.

а лучше закончившим кафедры "шифрования данных" по специальности.

и не пользующихся предложенными тухлыми операционными системами а знающими чем можно пользоваться для интернета и каким браузерами и как вообще в него безопасно можно выходить.

мда-с

ну нам, домохозякам уже поздно пить боржоми.

мы уже как я понимаю слили в интернет кому надо тем всё о себе даже не подозревая о последствиях.

мда-с

выходит, что в нынешней реальности надо в обязательном порядке иметь три образования: программистское, юридическое и экономическое - ну а четвертое - для души - это по вкусу.

как обязательная восьмилетка...

dreamminer писал(а):

Это собственно не новость лет 10 уже ничего не меняется, WebBrowserPassView вам в помощь с 2011 года.

Она позволяет просматривать пароли в браузерах, в которых не включена защита мастер-паролем.
Поэтому более 10 лет всегда использую мастер-пароли, а разрешаю запоминать браузерам пароли только для всякой шняги: форумы, соц-сети, трекеры и т.п. (там где у меня нет финансовых и личных данных).

Михаил писал(а):

мда-с получается, что выходить в интернет всем было давно противопоказано вообще и домохозякам в частности. получается, что в интернет могут выходить только люди со специальным проф програмистским и прочим айтишным как говорят образованием. а лучше закончившим кафедры "шифрования данных" по специальности. и не пользующихся предложенными тухлыми операционными системами а знающими чем можно пользоваться для интернета и каким браузерами и как вообще в него безопасно можно выходить.

Необязательно такие сложности, для безопасности достаточно пользоваться браузером который будет стирать всю активность после её закрытия и не создавать базу данных из логов, паролей, кукисов и кеша, например Firefox так умеет делать. А пароли можно держать в голове, сложные пароли держать ещё проще ассоциировав их с определенными событиями типа "Машина ехала в кафе в 9 утра забрал заказ и вернулся домов в 12" в переводе на пароль выходит MEvK9YZzVdv12. Такой подход эффективен против угона баз данных с паролями потому что не сохраняются в определенном файле, к тому же можно поставить на папку с браузером атрибут только чтение в таком случае никакие логи или ещё какой то мусор сохраняться и записываться от браузера не будет. А так же можно блочить те куки которые не нужны сайту типа аналитики. Но конечно каждый раз авторизоваться на определенном сайте будет надоедать, но со временем можно привыкнуть))

AlexSSoft писал(а):

Надобность виртуальных машин сильно повысилась..

Обоснуй.
Разницы никакой, что виртуальная, что реальная.

"физические локальные атаки рассматриваются вне модели угроз Chrome". Есть основание полагать, что у них любые атаки "рассматриваются вне модели угроз". В общем, производители козлы, что и требовалось доказать.

Добавлено спустя 1 минуту 41 секунду:

delfad писал(а):

Михаил писал(а): мда-с получается, что выходить в интернет всем было давно противопоказано вообще и домохозякам в частности. получается, что в интернет могут выходить только люди со специальным проф програмистским и прочим айтишным как говорят образованием. а лучше закончившим кафедры "шифрования данных" по специальности. и не пользующихся предложенными тухлыми операционными системами а знающими чем можно пользоваться для интернета и каким браузерами и как вообще в него безопасно можно выходить. Необязательно такие сложности, для безопасности достаточно пользоваться браузером который будет стирать всю активность после её закрытия и не создавать базу данных из логов, паролей, кукисов и кеша, например Firefox так умеет делать. А пароли можно держать в голове, сложные пароли держать ещё проще ассоциировав их с определенными событиями типа "Машина ехала в кафе в 9 утра забрал заказ и вернулся домов в 12" в переводе на пароль выходит MEvK9YZzVdv12. Такой подход эффективен против угона баз данных с паролями потому что не сохраняются в определенном файле, к тому же можно поставить на папку с браузером атрибут только чтение в таком случае никакие логи или ещё какой то мусор сохраняться и записываться от браузера не будет. А так же можно блочить те куки которые не нужны сайту типа аналитики. Но конечно каждый раз авторизоваться на определенном сайте будет надоедать, но со временем можно привыкнуть))

Это вы так шутите?

Добавлено спустя 4 минуты 9 секунд:

dreamminer писал(а):

Это собственно не новость лет 10 уже ничего не меняется, WebBrowserPassView вам в помощь с 2011 года. Это надо писать так: юный и неопытный ламер, непонятно как и почему всё еще работающий в компании "...." и выдающий себя за эксперта, обнаружил факт, который всем давно известен и даже смог о нем что-то написать

Если пароли прикрыты мастер паролем, эта программа обломается. В статье речь идёт о памяти, а не о файле, в котором хранятся аккаунты. Правда, в Chrome мастер пароль можно использовать, только если вы подключили аккаунт (по крайней мере так было некоторое время назад).

delfad писал(а):

"Машина ехала в кафе в 9 утра забрал заказ и вернулся домов в 12" в переводе на пароль выходит MEvK9YZzVdv12

действительно
особенно легко запоминается где строчные а где прописные ))
притом что паролей куча для разных сайтов + логины

Михаил писал(а):

delfad писал(а): "Машина ехала в кафе в 9 утра забрал заказ и вернулся домов в 12" в переводе на пароль выходит MEvK9YZzVdv12 действительно особенно легко запоминается где строчные а где прописные )) притом что паролей куча для разных сайтов + логины

Это не проблема, можно добавить правило второй заглавной буквы и получится mEvK9yZzVdV12 а запомнить пароль к сайту не составит труда. После 10-20 раз пароль запоминается мозгом пока его используешь, это как с мобильным номером телефона, если 20 раз его пытаться запомнить на 21 он запоминается. Но в отличие от номера мозг отлично запоминает гармоничные предложения. Да и мозг в нынешнем мире очень важно развивать и им пользоваться)

delfad писал(а):

Это не проблема, можно добавить правило второй заглавной буквы и получится mEvK9yZzVdV12 а запомнить пароль к сайту не составит труда. После 10-20 раз пароль запоминается мозгом пока его используешь, это как с мобильным номером телефона, если 20 раз его пытаться запомнить на 21 он запоминается. Но в отличие от номера мозг отлично запоминает гармоничные предложения. Да и мозг в нынешнем мире очень важно развивать и им пользоваться)

Какое количество пар логин-пароль вы помните и регулярно используете?