Os funcionários do Google podem ver minhas senhas salvas do Google Chrome?

Armazenar suas senhas em seu navegador da Web parece ser uma ótima opção para poupar tempo, mas as senhas são seguras e inacessíveis para outras pessoas (até mesmo para os funcionários da empresa do navegador) quando esquadrinhadas?

A sessão de perguntas e respostas de hoje nos é oferecida por cortesia do SuperUser - uma subdivisão do Stack Exchange, um agrupamento de sites de perguntas e respostas conduzido pela comunidade..

A questão

Leitor de superusuário O MMA está curioso para saber se os funcionários do Google têm (ou poderiam ter) acesso às senhas que ele armazena no Google Chrome:

Eu entendo que estamos realmente tentados a salvar nossas senhas no Google Chrome. O benefício provável é duas vezes,

• Você não precisa (memorizar e) inserir essas senhas longas e enigmáticas.
• Estes estão disponíveis onde quer que você esteja, uma vez que você faça login na sua conta do Google.

O último ponto provocou minha dúvida. Como a senha está disponível qualquer lugar, o armazenamento deve em algum local central, e isso deve estar no Google.

Agora, minha pergunta simples é: um funcionário do Google pode ver minhas senhas?

Pesquisando pela Internet revelou vários artigos / mensagens.

• Você salva senhas no Chrome? Talvez você deva reconsiderar: fala sobre as suas senhas serem roubadas por alguém que tenha acesso à sua conta de computador. Nada mencionado sobre a segurança e vulnerabilidade do armazenamento central. Há até mesmo uma resposta do líder de tecnologia de segurança do navegador Chrome sobre o primeiro problema.
• Estratégia de segurança de senha insana do Chrome: principalmente na mesma linha. Você pode roubar a senha de alguém se tiver acesso à conta do computador.
• Como roubar senhas salvas no Google Chrome em 5 etapas simples: ensina como executar de fato Aja mencionado nos dois anteriores quando você tem acesso à conta de outra pessoa.

Há muitos mais (incluindo este em esse site), principalmente na mesma linha, pontos, contra-pontos, grandes debates. Eu evito mencioná-los aqui, simplesmente carregue uma busca se você quiser encontrá-los.

Voltando à minha consulta original, um funcionário do Google pode ver minha senha? Como eu posso ver a senha usando um simples botão, eles definitivamente podem ser desenhados (descriptografados) mesmo se criptografados. Isso é muito diferente das senhas salvas em sistemas operacionais semelhantes ao Unix, em que a senha salva nunca pode ser vista em texto simples..

Eles usam um algoritmo de criptografia unidirecional para criptografar suas senhas. Essa senha criptografada é armazenada no arquivo passwd ou shadow. Quando você tenta fazer o login, a senha digitada é criptografada novamente e comparada com a entrada no arquivo que armazena suas senhas. Se eles corresponderem, deve ser a mesma senha e você tem permissão de acesso. Assim, um superusuário pode mudar minha senha, pode bloquear minha conta, mas ele nunca pode ver minha senha.

Assim são as suas preocupações bem fundamentadas ou será um pequeno insight dissipar sua preocupação?

A resposta

O contribuidor do SuperUser, Zeel, ajuda a colocar sua mente à vontade:

Resposta curta: não *

As senhas armazenadas em sua máquina local podem ser descriptografadas pelo Google Chrome, contanto que sua conta de usuário do sistema operacional esteja conectada. E você poderá visualizá-las em texto simples. No começo isso parece horrível, mas como você acha que o preenchimento automático funcionou? Quando esse campo de senha é preenchido, o Chrome deve inserir a senha real no elemento de formulário HTML - ou a página não funcionaria corretamente e você não poderia enviar o formulário. E se a conexão com o site não for via HTTPS, o texto simples será enviado pela Internet. Em outras palavras, se o cromo não conseguir as senhas em texto simples, elas serão totalmente inúteis. Um hash unidirecional não é bom, porque precisamos usá-los.

Agora, as senhas são, na verdade, criptografadas, a única maneira de recuperá-las para texto simples é ter a chave de descriptografia. Essa chave é sua senha do Google ou uma chave secundária que você pode configurar. Quando você faz login no Google Chrome e sincroniza, os servidores do Google transmitem criptografado senhas, configurações, marcadores, preenchimento automático, etc, para a sua máquina local. Aqui, o Google Chrome decifrará as informações e poderá usá-las.

No final do Google, todas essas informações são armazenadas em seu estado encriptado e não têm a chave para descriptografá-las. A senha da sua conta é verificada em relação a um hash para fazer login no Google e, mesmo que você deixe o chrome lembrá-lo, essa versão criptografada fica oculta no mesmo pacote das outras senhas, impossível de acessar. Assim, um funcionário provavelmente poderia pegar um despejo dos dados criptografados, mas isso não os faria bem, já que eles não teriam como usá-lo. *

Então, não, os funcionários do Google não podem ** acessar suas senhas, pois elas são criptografadas em seus servidores.

* No entanto, não esqueça que qualquer sistema que possa ser acessado por um usuário autorizado pode ser acessado por um usuário não autorizado. Alguns sistemas são mais fáceis de quebrar do que outros, mas nenhum é à prova de falhas… Dito isso, acredito que confiarei no Google e nos milhões que eles gastam em sistemas de segurança, em relação a qualquer outra solução de armazenamento de senhas. E diabos, eu sou um nerd fracote, seria mais fácil bater as senhas fora de mim do que quebrar a criptografia do Google.

** Eu também estou supondo que não há uma pessoa que simplesmente trabalhe para o Google ter acesso à sua máquina local. Nesse caso, você está ferrado, mas o emprego no Google não é mais um fator. Moral: Hit Win + L antes de sair da máquina.

Embora concordemos com o zeel que é uma aposta bastante segura (desde que seu computador não seja comprometido) que suas senhas estejam de fato seguras enquanto armazenadas no Chrome, preferimos criptografar todos os nossos logins e senhas em um cofre LastPass..

Tem algo a acrescentar à explicação? Soe fora nos comentários. Quer ler mais respostas de outros usuários do Stack Exchange com experiência em tecnologia? Confira o tópico de discussão completo aqui.