Google beveiligt opgeslagen wachtwoorden in Chrome
Google kreeg in de zomer nog kritiek omdat het in Chrome opgeslagen wachtwoorden niet met een zogeheten hoofdwachtwoord beschermt, maar de zoekgigant lijkt nu toch maatregelen te nemen om opgeslagen wachtwoorden middels een hoofdwachtwoord te beschermen.
Webontwikkelaar Elliott Kember ontdekte begin augustus dat Google Chrome geen hoofdwachtwoord gebruikt. Opgeslagen wachtwoorden zijn direct zichtbaar voor iedereen die toegang tot de browser heeft. Volgens Kember zou Google dit duidelijker naar gebruikers toe moeten communiceren.
Hoofdwachtwoord
Google engineer Justin Schuh, tevens beveiligingschef van Google Chrome, stelde dat de ontwikkelaars bewust hadden gekozen om een hoofdwachtwoord achterwege te laten. De enige beveiliging van de opgeslagen wachtwoorden is het account van de gebruiker. "Zodra de aanvaller toegang tot je account heeft is het voorbij, omdat er gewoon teveel vectoren voor hem zijn om te krijgen wat hij wil", liet Schuh destijds weten.
In een nieuwe versie van Chromium voor Mac kunnen gebruikers "password-manager-reauthentication" instellen. Dit zorgt ervoor dat als ze de opgeslagen wachtwoorden willen zien, ze eerst het Mac OS-wachtwoord moeten invoeren, zo laat Google-werknemer François Beaufort via Google Plus weten. Chromium dienst als basis voor Google Chrome. Wanneer de wachtwoordfunctie naar Chrome komt en of die ook voor andere besturingssystemen beschikbaar wordt is nog onbekend.
Een probleem van chrome is dat hij toch niet goed met de wachtwoord manager van de mac overweg kan. Er wordt netjes om toestemming gevraagd en indien nodig moet ik ook een hoofdwachtwoord invullen. Maar het essentiële gaat mis: hij vult geen wachtwoorden in voor mij. Misschien omdat ik mijn internet wachtwoorden niet in de default sleutelhanger heb, maar in een extra gecreëerde sleutelhanger voor internet toegang? Laat ze dat probleem eerst maar oplossen.
Onder welk OS X is dit screenshot gemaakt? Mavericks?
Ik mis twee belangrijke elementen in het admin password window, "Details + pijltje", "Vraagteken button" linksonder.
Details pijltje geeft namelijk inzage in welke Mac applicatie dit window oproept.
Vraagteken opent Mac Help viewer application window
Is dit toevallig een (Fake Mac Admin) pop up venster van Chromium zelf?
Nee toch mag ik hopen.
Heel wat meer ins en outs van de keychain vind je op:
https://developer.apple.com/library/mac/documentation/Security/Conceptual/keychainServConcepts/01introduction/introduction.html#//apple_ref/doc/uid/TP30000897-CH203-TP1
Vindt dit zeer kwalijk / slecht (doordacht?) idee.
Door het in variatie nabootsen van Mac OS X systeem meldingen maakt dat de weg vrij voor misbruik via social engineering.
Als anderen dit gaan navolgen, of eigenlijk is in de browser als melding al ernstig genoeg, laat je gebruikers wennen aan het feit dat er vanaf nu voor gebruikers moeilijk onderscheid is te maken aan OS X eigen systeemmeldingen en pop up meldingen door derden. Je kan erop wachten, en bedankt hoor.
Nou kan dat altijd nagebootst worden door elke handige webdesigner, alleen zolang het niet te vaak voorkomt vallen afwijkende meldingen nog op, als je eraan gewend bent niet meer.
Corrumpering van OS X vormgeving en (security) werking dus.
"Het zou verboden moeten worden!" ;-)
Googeltje Chromium (Gopple?) moet maar fijn (en snel svp!) aan een eigen aanvaardbare vormgeving werken van popup windows (en meer). Vormgeving, ja dat is een vak op zich, kwestie van investeren, en er gevoel voor hebben (een mooie account naam alleen helpt niets ;-) ).
Nog een goede reden om snel je Chroompje te verwisselen voor een Webkit of Mozilla georiënteerde browser.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
