Dove vengono memorizzate le password sui telefoni Android? Dove memorizzare le password su iOS e Android? La mia esperienza.

Ciao Habr! Sono un giovane sviluppatore specializzato in sviluppo Android e sicurezza informatica. Non molto tempo fa, mi chiedevo: in che modo Google Chrome memorizza le password utente salvate? Analizzando le informazioni dalla rete e i file di Chrome stesso (questo articolo era particolarmente informativo), ho trovato alcune somiglianze e differenze nell'implementazione del salvataggio delle password su piattaforme diverse e per dimostrazione ho scritto applicazioni per estrarre le password dalla versione Android del browser .

Come funziona?

Come possiamo sapere da varie pubblicazioni in rete su questo argomento, Google Chrome sul PC memorizza le password dei suoi utenti nella seguente directory:

"C: \ Users \ SomeUser \ AppData \ Local \ Google \ Chrome \ User Data \ Default \" nel file " Dati di accesso".

Questo file è un database SQLite ed è abbastanza possibile aprirlo e visualizzarlo. Sul tavolo accessi possiamo vedere i seguenti campi di nostro interesse: origine_url(Indirizzo Web), valore_nomeutente(Accedere), valore_password(parola d'ordine). La password è presentata in un array di byte e crittografata tramite una chiave macchina, che è individuale per ogni sistema. Maggiori dettagli possono essere trovati in questo articolo. Pertanto, non esiste alcuna protezione nel client Windows.

Android

Ma poiché sono più interessato ad Android, il client Android del browser ha attirato la mia attenzione.

"Aprire" il pacco Google Chrome (com.android.chrome), ho scoperto che la sua struttura è molto simile a quella di un client per PC e non è stato difficile trovare esattamente lo stesso database responsabile della memorizzazione delle password degli utenti. Il percorso completo del database è il seguente: "/data/data/com.android.chrome/app_chrome/Default/Dati di accesso"... In generale, questo database è molto simile alla sua "sorella maggiore" della versione PC, con una sola, ma molto significativa differenza: le password sono memorizzate qui in chiaro. La domanda sorge spontanea: è possibile estrarre a livello di codice le password dal database? La risposta era abbastanza ovvia: sì, se la tua applicazione è radicata.

Implementazione

Per maggiore chiarezza, si è deciso di realizzare un nostro strumento per l'estrazione delle password dal database del browser.

Per descrivere il suo lavoro in poche parole, funziona così:

• Ottiene root.
• Copia il database di Chrome nella propria directory.
• Chmod accede a una copia del database.
• Apre un database e recupera informazioni su accessi e password.

L'app è stata ospitata su Google Play.

Conclusione

In conclusione del lavoro svolto, possiamo dire che se hai i diritti di root, estrarre il database delle password dal browser e inviarlo al tuo server è un compito completamente risolvibile, e questo fatto dovrebbe farti pensare se fidarti di qualsiasi applicazione con diritti di superutente...

Spero che questo articolo sia stato informativo. Grazie per l'attenzione!

Un utente Internet attivo è costretto a inserire un numero enorme di password: da social network, caselle di posta elettronica, negozi online, giochi online. Per motivi di sicurezza, si consiglia di fornire una password originale ad ogni nuova registrazione, perché altrimenti un utente malintenzionato, avendo ottenuto l'accesso illegale a un account, sarà in grado di hackerare facilmente gli altri. È difficile ricordare molti accessi e password diversi, ma scriverli su un notebook non è sicuro, quindi l'opzione migliore per scaricare la memoria è utilizzare programmi speciali per memorizzare le password. Basta ricordarne una, la master password, per avere accesso a tutto il resto.

Prezzo: gratuito

LastPass- un noto servizio cloud per l'archiviazione di password, sviluppato dall'omonima società e disponibile su sistemi operativi per computer Linux, Windows, OS X, negli app store di Google Play, AppStore, Microsoft Store, nonché nella forma di plugin per i principali browser, ad esempio Mozilla Firefox e Google Chrome. Questo programma non solo ricorda i dati identificativi, ma li gestisce anche: aiuta il proprietario a generare una nuova password, modifica i dati se nota un tentativo di hacking, analizza la complessità e la forza delle password e fa in modo che le password di due diverse i conti non sono gli stessi

Principali vantaggi del software di salvataggio della password LastPass dovrebbe includere quanto segue:

1. Autenticazione a due fattori... La maggior parte dei siti richiede di inserire solo un nome utente e una password: questa è chiamata autenticazione a un fattore. Due fattori richiedono all'utente dati aggiuntivi (ad esempio PIN, numero di telefono, impronte digitali), il che è una garanzia di maggiore affidabilità. I noti portali Twitter, Amazon, Facebook sono passati all'autenticazione a due fattori e, più recentemente LastPass. Un'ulteriore protezione tramite password è fornita da Google Autenticatore e YubiKey.
2. Russificazione completa e di alta qualità.
3. Ampia funzionalità. Dopo aver aggiornato l'interfaccia LastPass nel 2014 il servizio è stato integrato con alcune utili funzionalità aggiuntive. Ora, utilizzando l'applicazione, un utente può archiviare documenti, utilizzare strumenti per la compilazione automatica di moduli di negozi online e monitorare i cambiamenti nella cronologia del credito.

LastPassÈ considerato un programma gratuito per il salvataggio delle password, tuttavia, per utilizzare le versioni mobili, è necessario acquistare un account premium, che costa $ 12.

1Password

Prezzo: gratuito +

Utenti 1 Parola d'ordine notare la semplicità del suo utilizzo e un'interfaccia molto amichevole e piacevole come importanti vantaggi del programma. Tuttavia, questi sono i vantaggi del programma per ricordare le password immesse su un computer, 1 Parola d'ordine non sono esauriti - ce ne sono altri:

1. Multipiattaforma... Il programma funziona su Windows, Mac OS, Android, iOS e si integra anche nei browser più diffusi come Opera e Firefox. Tuttavia, tale ampia integrabilità è più la norma per i gestori di password che una caratteristica distintiva.
2. Sincronizzazione... Attraverso Dropbox e iCloudè possibile aprire l'accesso all'archivio password a utenti non autorizzati.
3. Affidabilità... Il database è protetto dalla cifratura AES-128, adottata come standard dal governo degli Stati Uniti. La perdita di dati è avvertita da inline keylogger- un dispositivo che registra le azioni dell'utente.
4. Generazione di password. Se è necessario creare una nuova password, il programma per la generazione di password non si limita a fornire un insieme casuale di numeri e lettere, ma genera una combinazione corrispondente ai parametri precedentemente specificati dall'utente. Tali parametri sono il numero di caratteri, la presenza di numeri e persino la pronuncia della combinazione.
5. Capacità di controllo della sicurezza. Il programma controllerà il database per password duplicate e deboli.

1 Parola d'ordine ha il punteggio più alto tra i peer nell'AppStore (4 stelle su 5), tuttavia, questo software non è privo di inconvenienti. Programma 1 Parola d'ordine piuttosto costoso: i proprietari di iPhone dovranno rinunciare a 5 mila rubli per installare la versione completa. Tuttavia, anche dopo aver pagato questi soldi, l'utente non sarà in grado di modificare il database su un dispositivo mobile.

Dashlane

Prezzo: gratuito

Gestore password rilasciato nel 2012 Dashlane ha immediatamente guadagnato popolarità in tutto il mondo grazie alla sua semplice interfaccia di alta qualità, all'elevata sicurezza e alla capacità di compilare automaticamente i moduli sulle pagine web. Nel 2016 ci sono stati diversi aggiornamenti e il programma è riuscito a "crescere" con funzioni aggiuntive. Qual è la differenza Dashlane?

1. Autenticazione a due fattori- un segno dell'atteggiamento attento degli sviluppatori all'affidabilità della loro prole.
2. Monitoraggio degli acquisti e integrazione con i portafogli elettronici semplificare il processo di acquisto attraverso i negozi online.
3. Accessibilità per qualsiasi dispositivo. Questo programma per salvare le password inserite su un computer funziona sia con il sistema operativo desktop che mobile, ha un plug-in anche per Internet Explorer. La sincronizzazione in cloud di più dispositivi su piattaforme diverse è possibile, ma solo con l'acquisto della versione Pro.

Funzioni di base dell'applicazione Dashlane disponibile gratuitamente, la versione completa costerà quasi $ 40 all'anno. Nonostante questo costo, l'applicazione non è stata ancora russificata - questo è il motivo principale per cui Dashlane non così popolare tra gli utenti domestici come, ad esempio, LastPass.

RoboForm

Prezzo: gratuito +

RoboForm- il "pioniere" e il "fegato" tra i gestori di password. Lo sviluppo di questo programma è iniziato nel 1999, tuttavia, fino ad oggi, l'applicazione migliora costantemente e aumenta le sue funzionalità. Coloro che credono che l'uso RoboForm ora, in presenza di molti concorrenti degni - un segno di malsano conservatorismo, si sbagliano, perché il programma può davvero offrire all'utente molti vantaggi unici:

1. Versatilità... Il fatto che il gestore di password funzioni con tutti i principali sistemi operativi attuali non è una sorpresa. Tuttavia, quanti programmi sono noti supportati su Symbian, Palma OS, Mora OS e persino finestre 2003 ? RoboForm – uno di quelli.
2. Mobilità... Non è necessario installare RoboForm su un computer o un gadget , per usarlo - grazie alla funzione RoboForm2 andare, il programma può essere installato su un'unità flash USB ed essere eseguito su computer pubblici.
3. Affidabilità. Base RoboForm crittografato utilizzando lo standard AES-256, tradizionalmente utilizzato nel settore bancario.
4. Possibilità di creare più profili. Persone diverse possono utilizzare lo stesso programma: le informazioni individuali verranno memorizzate in ciascuno dei profili protetti da password. Ciò consente di risparmiare denaro e acquistare la versione a pagamento dell'applicazione "bundle".

Il gestore può essere scaricato gratuitamente, ma poi non potrai memorizzare più di 10 accessi/password. Per l'archiviazione di una quantità illimitata di dati, nonché per la sincronizzazione cloud, avrai bisogno di una versione RoboForm Ovunque, che costa circa $ 20 all'anno.

Poiché le nostre vite vengono rapidamente digitalizzate, siamo letteralmente ricoperti da una varietà di password. E quando ci sono dozzine di servizi, ricordare le password da loro è semplicemente irrealistico. Ovviamente puoi usare la stessa password ovunque, ma questo è molto insicuro. L'ho perso - e tutti i dettagli della tua vita potrebbero andare a qualcuno non molto amichevole. Pertanto, è più corretto inventare password diverse ovunque e quindi scriverle in un luogo appartato.

Ma come scegliere questo posto? Per essere sia conveniente che affidabile? Ci sono centinaia di opzioni. Non ti parlerò di tutte le applicazioni di memorizzazione delle password. Ci vorrà troppo tempo perché ho provato molte cose. Ti parlerò meglio dei due con cui sono finito.

Uso questa app gratuita su Android da molti anni. Cartelle B... A differenza di molti analoghi, è davvero gratuito: non ci sono restrizioni né sul numero di campi nei record né sul numero di record stessi. Il database è memorizzato in forma crittografata, per impostazione predefinita, l'accesso ad esso si apre dopo aver inserito una password o un codice pin (opzionale). Per un importo aggiuntivo, puoi abilitare lo sblocco delle impronte digitali (299 rubli).

Lo sviluppatore sta lavorando all'applicazione dal 2009 e sembra aver previsto tutto. Nelle impostazioni, è possibile modificare l'aspetto dell'applicazione e delle carte, impostare l'ora per la cancellazione forzata degli appunti dopo aver copiato la password in essa, abilitare l'autodistruzione del database dopo un certo numero di password inserite in modo errato, ecc. . eccetera. La paranoia degli autori è arrivata al punto che non è nemmeno possibile fare uno screenshot nell'applicazione - e questo, tra l'altro, è assolutamente corretto.

Puoi trovare difetti in due cose. Innanzitutto, l'interfaccia non è localizzata: tutto è in inglese. Non ci sono problemi con nomi e password russi e tutte le iscrizioni importanti sono duplicate con icone chiare. Ma per alcuni, forse sarà una seccatura.

In secondo luogo, non esiste alcuna opzione per la sincronizzazione automatica del database con il cloud storage. Forse questo viene fatto anche per una maggiore sicurezza del database delle password. Ma quest'ultimo può essere salvato come file crittografato, inviato a qualsiasi cloud (Dropbox, OneDrive, ecc.) E da lì scaricato su un altro telefono. La procedura richiede letteralmente un minuto e tutte le tue impostazioni preferite vengono spostate insieme alla base.

Quindi, probabilmente, sarebbero state utilizzate solo le cartelle B, ma la vita mi ha costretto a cercare una soluzione multipiattaforma. In questo modo su Android, iOS e computer puoi anche spiare password particolarmente complicate. Ho provato di tutto e alla fine mi sono accontentato... Kaspersky Password Manager... Anche l'applicazione è gratuita per impostazione predefinita, ma se non aggiungi denaro, puoi memorizzare solo 15 password. Se vuoi di più - se per favore paghi un extra. Non puoi acquistare l'applicazione per sempre, la licenza è valida per un anno. Ma, sfortunatamente, questo è il caso di tutte le multipiattaforme decenti con sincronizzazione online. L'unica domanda è il prezzo.

E, stranamente, nel caso di Kaspersky Password Manager, può essere molto diverso. Ho avuto la stupidità di acquistare una licenza direttamente tramite l'App Store, dove mi sono stati addebitati 1000 rubli. E sul sito web di Kaspersky Lab la stessa cosa costa solo 450 rubli. Se hai acquistato una licenza per Kaspersky Total Security (1990 rubli all'anno per due computer), Password Manager ti darà un bonus gratuito.

Poiché Password Manager ha radici russe, la localizzazione è completamente presente. Esistono diversi formati di schede per siti Web, app e dati personali, inoltre è presente una sezione separata per le note. Criptato, ovviamente. Mi è piaciuto che quando inserisci una password per un sito, la sua icona viene visualizzata automaticamente nel menu: è più facile non perdersi quando ci sono molte password. Inoltre, se apri il sito direttamente dall'applicazione, proverà a sostituire la password nel modulo. Non sempre funziona, perché le forme sono scritte oh, quanto diversamente. Ma a volte fa davvero risparmiare tempo.

Una volta immesse, le password vengono archiviate nel cloud di Kaspersky Lab e sono disponibili da qualsiasi dispositivo autorizzato. Un'ulteriore protezione è fornita dalla presenza di una password principale: cioè non è sufficiente inserire i dati del proprio account, ne occorre un'altra in cima. Accedi all'applicazione tramite codice pin, impronta digitale o, nel caso di iPhone X, tramite il viso. Esistono versioni per PC e Mac, ma probabilmente è più semplice accedervi tramite un browser.

Gli svantaggi del prodotto possono essere attribuiti solo alla mancanza dell'opportunità di acquistare una licenza a vita, in qualche modo è più tranquillo con esso. Ma sembra che il tempo per tali licenze stia per scadere.

Prenditi cura delle password! Troppo può essere perso con loro. Basti ricordare centinaia di malati che hanno dimenticato i dati dei loro portafogli bitcoin :)

Visualizzazioni: 4 540

I gestori di password stanno diventando sempre più popolari. La possibilità di conservare tutte le tue password in un unico posto è molto interessante. Con i dispositivi mobili puoi avere tutte le tue password sempre a portata di mano senza compromettere la sicurezza dei tuoi dati. Esistono tantissimi gestori di password per PC, Mac e dispositivi mobili. Ecco le migliori app per la gestione delle password per Android.

aWallet Password Manager
(Download: 819)
aWallet è una di quelle applicazioni di gestione delle password che sono state utilizzate per molto tempo. L'app memorizza password, transazioni bancarie, informazioni, informazioni sulla carta di credito e dati utente se ne hai bisogno. C'è anche una ricerca integrata, icone personalizzate e una funzione di blocco automatico. C'è anche un generatore di password integrato, quindi non devi preoccuparti. Il gestore di password copre tutto ciò di cui hai bisogno, inclusa la crittografia AES e Blowfish. Puoi scaricare l'app gratuitamente o acquistare la versione PRO.

Dashlane
(Download: 227)
Dashlane è un'altra app che esiste da molto tempo. Dashlane offre tutte le funzionalità di cui hai bisogno, incluso il supporto per password, carte di credito e altri tipi di informazioni sensibili. L'app supporta anche le password di completamento automatico su siti Web e app. Puoi eseguire il backup in locale o utilizzando il cloud. La crittografia AES a 256 bit funziona come previsto. Puoi utilizzare la maggior parte delle funzionalità gratuitamente, ma se desideri utilizzare tutte le funzionalità, dovrai sottoscrivere un abbonamento a pagamento. È uno dei gestori di password più solidi per Android.

Gestore password Enpass
(Download: 132)
Enpass è un gestore di password piuttosto potente. Copre tutte le funzioni di base e ci sono anche versioni per Mac, PC e Linux. L'app inoltre non richiede un canone mensile, il che è un buon segno. L'app ti consente di eseguire il backup e il ripristino dei tuoi dati, include crittografia AES a 256 bit, sincronizzazione multipiattaforma e puoi anche importare dati da altri gestori di password per rendere più semplice la transizione. Potrai anche utilizzare il completamento automatico in Google Chrome se utilizzi questo browser. L'app è scaricabile gratuitamente, un pagamento una tantum di $ 9,99 è sufficiente per sbloccare tutte le funzionalità.

Keepass2Android
(Download: 178)
Keepass2Android è una delle app di gestione delle password più basilari in questo elenco. Keepass ha funzionalità di base con le quali sarai in grado di eseguire il backup di password e simili. Tuttavia, l'app non offre più elefanti delle funzionalità della maggior parte dei concorrenti. La caratteristica principale dell'applicazione è la distribuzione open source completamente gratuita. L'app si basa sul codice Keepassdroid (un altro gestore di password open source gratuito), entrambe le app sono compatibili tra loro.

Custode
(Download: 147)
Keeper è un gestore di password con molte funzionalità. La caratteristica principale dell'applicazione è la crittografia AES a 256 bit e PBKDF2, che sicuramente aiutano a sentirsi al sicuro. Tuttavia, l'applicazione copre le funzioni di base, include il completamento automatico in varie applicazioni e siti Web. Oltre alle password, Keeper include anche depositi di video e foto in cui è possibile archiviare immagini o video sensibili. L'app supporta anche il blocco delle impronte digitali, che è sempre utile. Puoi anche sincronizzare l'app tra i dispositivi e archiviare i tuoi dati nel cloud, se lo desideri. È un'opzione abbastanza decente, anche se avrai bisogno di un abbonamento per ottenere tutte le funzionalità.

LastPass
(Download: 143)
LastPass è sulla stessa strada per quanto riguarda il gestore di password per Android. LastPass offre un sacco di funzioni, incluse le password di completamento automatico in app, siti Web e moduli individuali. L'app ti aiuta anche a memorizzare foto e note audio. Ci sono molte altre funzionalità più uniche e insolite, incluso il supporto per uno scanner di impronte digitali, un generatore di password, un controllo della password che ti farà sapere se la password non è forte, l'applicazione offre anche la possibilità di utilizzare l'aiuto di emergenza di un amico o un familiare. Puoi utilizzare il nucleo dell'applicazione gratuitamente, ma avrai bisogno di un abbonamento a pagamento se desideri utilizzare tutte le funzionalità. Puoi anche scaricare LastPass Authenticator da Google Play per aggiungere il fattore 2 per una maggiore sicurezza.

mSecure Password Manager
(Download: 72)
mSecure è uno di quei gestori di password che apparentemente è sempre esistito. Tuttavia, l'app ha visto diversi aggiornamenti sin dal suo inizio e l'aspetto del gestore di password rimane relativamente moderno. Inoltre, il gestore supporta le funzioni di base, la crittografia AES a 256 bit, un generatore di password e la possibilità di eseguire il backup dei dati sulla scheda SD. L'app ha anche una funzione di autodistruzione nel caso in cui qualcuno commetta un errore con la password troppe volte. È un gestore di password universale affidabile, anche se la mancanza di una versione gratuita potrebbe scoraggiare alcuni utenti. Ti consigliamo di guardare alcune delle recensioni e di provare l'app.

Password Safe e Manager
(Download: 89)
Password Safe and Manager è il punto debole quando si tratta di scegliere un gestore di password. Questa app non ha bisogno di essere connessa e la crittografia a 256 bit ti fa sentire relativamente sicuro. Il gestore di password utilizza il design dei materiali che sembra davvero eccezionale. Puoi pubblicare password, classificarle per una facile visualizzazione e generare nuove password al volo. Inoltre, il gestore di password offre funzioni di backup automatico. E l'app offre molte più opzioni se acquisti la versione PRO per $ 3,99. Non è il più potente, ma è un'ottima applicazione.

Gestore password RoboForm
(Download: 205)
RoboForm è un'app molto vecchia, ma è ancora uno dei migliori gestori di password per Android. Fa quello che dovrebbe e lo fa bene, e offre anche segnalibri in modo da poter trovare più velocemente le password più utilizzate. L'app riconosce anche le nuove password quando le crei e accedi, una soluzione elegante. Il gestore di password supporta anche gli accessi in più passaggi, il che è molto conveniente. L'app funziona con Chrome e Firefox, anche Dolphin Browser. Questa è un'app completamente gratuita che funziona alla grande.

SafeInCloud Password Manager
(Download: 145)
SafeInCloud è un gestore di password basato su cloud, un gestore molto capace. Memorizza tutti i tuoi dati nel cloud, con il quale puoi sincronizzare qualsiasi dispositivo. L'app include Material Desing, crittografia AES a 256 bit, supporta lettore di impronte digitali, Android Wear, generatore di password e calcolatore di sicurezza della password. Sarai in grado di completare automaticamente i grafici in alcuni browser. Puoi ottenere la maggior parte delle funzionalità con la versione gratuita e la versione PRO ti costerà 199 sterline molto ragionevoli.

Utilizzo l'ottimo servizio di archiviazione password LastPass da anni e penso che sia il migliore nel suo genere. Tuttavia, per la piattaforma Android, questo servizio offre solo un caso d'uso a pagamento, che non è adatto a tutti. Pertanto, in questo articolo, vedremo come estrarre le tue password da LastPass, trasferirle su Android e organizzarle in modo sicuro e conveniente.

1. Esporta le password da LastPass

È molto facile estrarre le tue password da questo servizio, il processo richiede solo pochi clic. Per fare ciò, accedi all'interfaccia web del servizio e seleziona la voce "Esporta" nel menu principale. Successivamente, è necessario specificare il nome del file e la posizione in cui viene salvato sul computer.

2. Conversione delle password LastPass in password KeePass

Per lavorare con le password su un dispositivo mobile, utilizzeremo il programma. Ha client per quasi tutte le piattaforme, si è dimostrato efficace in termini di sicurezza, è conveniente e gratuito. Ma prima di trasferire le tue password sul tuo dispositivo mobile, devi convertirle in un modulo comprensibile per questo programma. Questa funzione esiste nella versione desktop di KeePass.

Installa KeePass sul tuo computer e crea un nuovo database di password utilizzando una delle tue cartelle Dropbox come posizione. Quindi importa il file della password LastPass nel database delle password che hai creato.

3. Keepass2Android

Una volta che le tue password sono in un modulo compatibile con KeePass, puoi trasferirle direttamente sul tuo dispositivo mobile. Per fare ciò, è meglio utilizzare il client mobile Keepass2Android, che può sincronizzare il database delle password tramite Dropbox. Installa questo programma, quindi apri il database delle password creato in precedenza.

4. Compilazione automatica delle password

Una delle funzionalità più utili di LastPass è la possibilità di compilare automaticamente le credenziali sui siti salvati. Keepass2Android ha anche una funzione simile, sebbene sia implementata in modo leggermente diverso. Il programma ha una tastiera speciale con la quale vengono immesse le password. Succede nel modo seguente.

1. Apri la pagina di autorizzazione nel tuo browser (quasi tutti i browser Android sono supportati).
2. Usa il menu "Invia" per inoltrare questa pagina a Keepass2Android. Il programma trova una password adatta a questa pagina nel suo database.
3. Quindi ti viene chiesto di selezionare una tastiera. Selezioniamo l'opzione Keepass2Android.
4. Appare una tastiera speciale, sulla quale, usando tasti speciali, puoi inserire il tuo nome utente e password per la pagina aperta nei campi richiesti con un clic.

Ora avrai sul tuo gadget mobile un database ben protetto e sincronizzato contenente tutte le tue password. Inoltre, abbiamo la possibilità di inserire comodamente le password utilizzando una tastiera speciale, che ti consente di accedere molto rapidamente e comodamente ai siti di cui hai bisogno.