Привет Хабр! Я молодой разработчик, специализирующийся на Android-разработке и информационной безопасности. Не так давно я задался вопросом: каким образом Google Chrome хранит сохраненные пароли пользователей? Анализируя информацию из сети и файлы самого хрома (особенно информативной была эта статья), я обнаружил определенные сходства и отличия в реализации сохранения паролей на разных платформах, и для демонстрации написал приложения для извлечения паролей из Android версии браузера.
Как это работает?
Как мы можем знать из разных публикаций в сети на эту тему, Google Chrome на ПК хранит пароли своих пользователей в следующей директории:«C:\Users\SomeUser\AppData\Local\Google\Chrome\User Data\Default\» в файле "Login Data ".
Данный файл является базой данных SQLite, и его вполне можно открыть и посмотреть. В таблице logins мы можем видеть следующие, интересующие нас поля: origin_url (адрес сайта), username_value (логин), password_value (пароль). Пароль представлен байтовым массивом, и зашифрован через машинный ключ, индивидуальный для каждой системы. Подробнее можно узнать из этой статьи. Таким образом, какая-никакая защита в Windows клиенте присутствует.
Android
Но так как я больше увлекаюсь Android"ом, то мое внимание забрал на себя, соответственно, Android-клиент браузера.«Расковыряв» пакет Google Chrome (com.android.chrome ), я обнаружил, что его структура очень напоминает структуру ПК-клиента, и не составило труда найти точно такую же базу данных, отвечающую за хранение паролей пользователя. Полный путь к БД следующий: "/data/data/com.android.chrome/app_chrome/Default/Login Data" . В целом, эта база данных очень похожа на свою «старшую сестру» из ПК-версии, имея лишь одно, но очень значительное отличие - пароли тут хранятся в открытом виде. Возникает вопрос: можно ли программно извлечь пароли из базы? Ответ оказался весьма очевидным - да, если у вашего приложения есть root-права.
Реализация
Для большей наглядности было решено сделать свой инструмент для извлечения паролей из базы данных браузера.Если описать его работу в двух словах, то оно работает так:
- Получает root.
- Копирует базу данных Chrome в свою директорию.
- С помощью chmod получает доступ к копии БД.
- Открывает БД, и извлекает информацию о логинах и паролях.
Вывод
Как вывод из проделанной работы, можно сказать, что при наличии root-прав, вытащить базу паролей из браузера и отправить ее на свой сервер - задача вполне решаемая, и этот факт должен заставлять задуматься над тем, стоит ли доверять какому-либо приложению права суперпользователя.Надеюсь, эта статья была информативной. Спасибо за внимание!
Копался я, значит, в интернете по своим делам и наткнулся в поиске на преинтересные утверждения. Мол на устройствах под управлением Android пароли хранятся в базе данных в открытом виде. Фантастика. Неужели программисты Google такие глупые? А вот доморощенные хакеры, как всегда, на высоте:-). Казалось бы, как все просто, скопировал с телефона файл /data/system/accounts.db или /data/system/users/0 (зависит от версии android), открыл его sqlite-браузером и вот они, пароли, на блюдечке! Пользуйся. Ну и кто прочитал пароли? А? Не буду описывать процесс аутентификации подробно. Это будет скучно. Так вот, когда Вы регистрируете свое устройство в аккаунте google, вы проходите стандартную процедуру аутентификации. То есть, вводите свой email и пароль. После этого, устройство передает на сервер название и модель устройства, imei и получает auth token (авторизационный токен). действительный только для данного устройства. Вот он и хранится в account.db.
И практически все современные сервисы используют такой тип авторизации. Следовательно, если Вы забыли пароль от своего аккаунта Google, искать его в телефоне совершенно бесполезно. Попробуйте стандартное средство восстановления пароля к аккаунту. Чтобы посмотреть какие устройства подключены к аккаунту (при условии что у вас есть пароль) зайдите в свой аккаунт google - настройки - аккаунт - личный кабинет и Вы увидите свое устройство. Можно, кстати, попробовать его поискать, если устройство подключено к сети интернет.
Уж простите, я назвал свой телефон носком, просто, он периодически теряется:-). Итак, если у вас украли устройство, или вы его потеряли, вы можете его отключить в своем аккаунте.
После этого, auth token будет недействителен, и с этого устройства будет невозможно подключиться к этому аккаунту. А вот данные, находящиеся на устройстве, почту и другое, если они не были зашифрованы, можно будет прочитать. В аккаунте, также, можно удаленно стереть данные с устройства. То есть, при нажатии этой кнопки, при первом же входе устройства в интернет, данные будут удалены. Это, если не считать их заранее без входа в интернет. Желательно, конечно, шифровать данные на устройстве, но это совсем другая тема. А вообще, Google рекомендует двухфакторную аутентификацию. Хранить пароли требуется для Email протоколов POP3, IMAP, SMTP и Exchange ActiveSync. Все они требуют предоставление пароля при каждом подключении к серверу. И то они шифруются, пусть не так сложно. А в открытом виде пароли хранились только на заре развития сети интернет:-).
Я уже много лет пользуюсь замечательным сервисом хранения паролей LastPass и считаю, что он является лучшим в своем роде. Однако для платформы Android этот сервис предлагает только платный вариант использования, что подходит далеко не всем. Поэтому в этой статье мы рассмотрим, как вытащить свои пароли из LastPass, перенести их в Android и организовать их надёжное хранение и удобное использование.
1. Экспорт паролей из LastPass
Извлечь свои пароли из этого сервиса очень просто, процесс займёт всего несколько кликов. Для этого необходимо зайти в веб-интерфейс сервиса и в главном меню выбрать пункт «Экспорт». После этого необходимо указать имя файла и место его сохранения на своём компьютере.
2. Конвертация паролей LastPass в пароли KeePass
Для работы с паролями на мобильном устройстве будем использовать программу . Она имеет клиенты практически для всех платформ, хорошо зарекомендовала себя с точки зрения безопасности, удобна и бесплатна. Но прежде чем перенести свои пароли на мобильное устройство, их необходимо преобразовать в понятный для этой программы вид. Эта возможность существует в десктопной версии KeePass.
Установите KeePass на свой компьютер и создайте новую базу паролей, указав в качестве места размещения одну из папок в Dropbox. Затем импортируйте файл с паролями LastPass в созданную вами базу паролей.
3. Keepass2Android
После того, как ваши пароли оказались в понятном для KeePass виде, можно уже перенести их непосредственно в мобильное устройство. Для этого лучше всего использовать мобильный клиент Keepass2Android, который умеет синхронизировать базу паролей через Dropbox. Установите эту программу, а затем откройте созданную вами ранее базу паролей.
4. Автоматическое заполнение паролей
Одна из самых удобных функций LastPass - это возможность автоматического заполнения учётных данных на сохранённых сайтах. В Keepass2Android тоже есть подобная функция, хотя реализована она немного по-другому. Программа имеет специальную клавиатуру, с помощью которой и вводятся пароли. Происходит это следующим образом.
- Вы открываете в браузере (поддерживаются практически все обозреватели для Android) страницу авторизации.
- С помощью меню «Отправить» переправляете эту страницу в Keepass2Android. Программа находит подходящий для этой страницы пароль в своей базе.
- Затем перед вами появляется предложение выбрать клавиатуру. Выбираем вариант Keepass2Android.
- Появляется специальная клавиатура, на которой с помощью специальных клавиш можно в один клик ввести в нужные поля ваш логин и пароль для открытой страницы.
Теперь вы будете иметь на своём мобильном гаджете хорошо защищённую и синхронизируемую базу данных, содержащую все ваши пароли. Кроме этого, мы получаем возможность удобного ввода паролей с помощью специальной клавиатуры, что позволяет очень быстро и удобно входить на нужные вам сайты.
Наверняка каждый из нас зарегистрирован в какой-либо социальной сети, или хотя бы просто имеет электронный ящик. И каждый из нас должен понимать, что простые пароли легко подобрать и от них стоит отказаться. Но, к сожалению, не все люди за этим следят и могут просто недобросовестно отнестись к выбору пароля установив заведомо ненадежный пароли, наподобие «123456» или же очень распространенный «qwerty» . Да, такие пароли легко запомнить, но если они хранят личную для вас информацию, то, скорее всего с ней вам придется в скором времени попрощаться. Что касается сервисов, которые хранят наши с вами пароли, то они появились на свет очень давно, а вот мобильные версии появились не так давно.
Итак, в сегодняшний обзор наиболее популярных приложений для хранения паролей, попали: mSecure Password Manager, RoboForm, KeePassDroid, Last pass, 1Password Reader и Safebox .
mSecure Password Manager
- Категория : Работа
- Разработчик : mSeven Software LLC
- Версия : 3.5.3
- Цена : 10$ – Google Play
mSecure Password Manager – приложение, которое отличается от остальных представленных в обзоре, тем, что в нем есть просто огромный функционал и наиболее структурированный интерфейс (удобно просматривать не только на смартфоне, но и на планшете).
Если вы впервые запустили данное приложение, то вам предложат ввести пароль и запомнить его. Установив пароль на приложение, вы тем самым защищаете свои данные, которые в дальнейшем можно добавлять и устанавливать на них отдельные пароли. Отличительной особенностью данного приложения является наличие нескольких способов для созданиях резервных копий данных и возможности синхронизации, как с мобильными устройствами, так и персональными компьютерами. При желании копию данных можно отправить вам по электронной почте, сохранить на карту памяти или же вовсе загрузить на облачное хранилище Dropbox .
Стоит сказать пару слов о способах шифрования, ведь именно благодаря 256-битному шифрованию по алгоритму Blowfish ваши данные оказываются под хорошей защитой. Как уже говорилось приложение получило очень удобный и хорошо структурированный интерфейс, который позволяет без труда добавить файлы или же найти необходимую вам информацию. Кроме того для каждого из файлов можно присвоить одну из 200 имеющихся иконок.
Приложение распространяется на платной основе, приобрести его можно в Google Play по цене 10$. Цена, на мой взгляд, является завышенной, тем более, что настольная версия для Windows стоит еще дороже – порядка 20$.
Плюсы :
- Удобный интерфейс приложений;
- 256-битное шифрование данных;
- Несколько способов создания резервных копий данных;
- Быстрая и стабильная работа приложения.
Минусы :
- Высокая цена.
RoboForm
- Категория : Персонализация
- Разработчик : Siber Systems Inc
- Версия : 4.04
- Цена : Бесплатно – Google Play
RoboForm – очень старый сервис, предназначенный для хранения наиболее конфиденциальных данных. Данный сервис вышел настолько давно, что успел стать популярным на таких операционных системах как Palm OS и Windows Mobile , но разработчики не стали останавливаться на достигнутом и выпустили версию, как для iOS, так и для Android.
Что касается доступного функционала, то тут все стандартно: возможность хранения паролей, делить информацию на различные категории, автоматическая генерация паролей, ну и, конечно же, синхронизация с известными облачными хранилищами (данная функция автоматически выполняется при первом запуске приложения на мобильном устройстве).
Для более функциональной работы в сети приложение предлагает пользователю установить необходимые расширения на такие популярные браузеры, как Firefox и Dolphin , без которых вы сможете лишь создать защищенные паролем заметки.
Данный сервис лучше всего использовать именно в постоянной синхронизации с настольной версией программы. И самым важным моментом является тот факт, что сделать это можно бесплатно. Приложение RoboForm для Android скачать можно в Google Play абсолютно бесплатно.
Плюсы:
- Сервер абсолютно бесплатен;
- Удобные расширения для мобильных браузеров;
- Хороший функционал.
Минусы:
- Отсутствие русского языка;
- Не самый удобный интерфейс.
KeePassDroid
- Категория : Инструменты
- Разработчик : Brian Pellin
- Версия : 1.99.11
- Цена : Бесплатно – Google Play
KeePassDroid – еще один менеджер хранения паролей, функционал которого можно опробовать абсолютно бесплатно, при этом исходный код приложения может использовать абсолютно любой пользователь. Эту особенность можно назвать огромным плюсом и поблагодарить за эту возможность автора приложения.
Функции приложения довольно классические. Первый запуск означает создание файла-ключей, в котором будет храниться вся информация об учетных записях и паролях. Все пароли будут шифроваться по заранее заготовленному алгоритму шифрования AES.
Несмотря на свой удобный и простой интерфейс, приложение без труда сгруппирует записи. Эта возможность позволяет хранить в одном приложении данные от нескольких сервисов. Кроме того, приложение без труда может скопировать логин и пароль всего в одно нажатие. После того как данные будут скопированы в статус-баре можно будет увидеть уведомление об удачном завершении переноса данных.
Еще одной полезной функцией в приложении является возможность создания автоматического пароля, при этом нужно указать какие символы будут указываться в пароле, его длинна, наличие спец символов и другие параметры.
Именно благодаря своей бесплатности и свободному распространению приложение KeePassDroid имеет несколько сторонних клиентов для работы на персональном компьютере под управлением Windows, Mac и Linux .
Плюсы :
- Абсолютная бесплатность и свобода в распространении;
- Простой и удобный интерфейс.
- Автогенерация паролей.
- Имеются настольные версии программы для самых разных ОС
Минусы :
- Морально устаревший интерфейс;
- Отсутствует возможность работы с баузерами.
Last pass
- Категория : Работа
- Разработчик : LastPass
- Версия : 3.2.18
- Цена : Бесплатно – Google Play
Last pass – один из самых удобных облачных менеджер для хранения паролей. Данный сервис может похвастаться огромным количество плагинов для работы большинства популярных браузеров, в том числе и мобильных. Данный менеджер без труда заполнит логин и пароль на любом сайте.
В большей степени максимального функционала приложения можно достичь в наиболее популярном мобильном браузере Dolphin для которого созданы сразу несколько плагинов облегчающих работу с сервисом.
Практически все основные функции браузера можно использовать абсолютно бесплатно. Хотелось бы отмтетьи возможность установки данного приложения на такие ОС как Windows Phone, BlackBerry, Symbian, Windows Mobile и даже WebOS .
Приложение Last pass для android скачать можно абсолютно бесплатно, но если нужно воспользоваться имеющимися плагинами, то нужно покупать подписку за 1 доллар в месяц или же 12 за год использования.
Плюсы :
- Удобный интерфейс;
- Наличие русского языка;
- Хранение всех паролей в облаке;
- Синхронизация с настольной версией.
Минусы :
- Использование мобильного плагина только за деньги;
- Небольшой функционал приложения по сравнению с основными конкурентами.
1Password Reader
- Категория : Работа
- Разработчик : AgileBits Inc
- Версия : #1.8.5.2
- Цена : Бесплатно – Google Play
1Password – если кто не знает, то это приложение в свое время было самым популярным среди всех на платформе iOS. Разработчики быстро создали приложение для Android, но по неизвестным причинам функционал получился не много урезанным, нежели в версии для iOS.
Приложение, которое можно бесплатно скачать в Google Play позволяет без труда получить доступ к информации, которая была добавлена с помощью ПК. Эти данные мы можем использовать в своих целях, а вот добавить новые с мобильного устройства возможности, к сожалению, у нас нет.
Интерфейс у приложения по-настоящему скромный. Но именно это приложение остается единственным, которое может без труда работать с настольной версией программы 1Password .
Плюсы :
- Полная синхронизация с настольной версией программы.
Минусы :
- Отсутствует возможность добавления новых файлов;
- Неудобный и малофункциональный интерфейс.
- Категория : Инструменты
- Разработчик : Aleksey Zholdak
- Версия : 1.22.9
- Цена : Бесплатно – Google Play
- Pro версия - Google Play
Итог :
Из всех вышеперечисленных менеджерей для хранения паролей я бы хотело отметить самый первый, а именно mSecure Password Manager , он и по дизайну приглянулся мне больше, да и по функционалу показался наиболее практичным. Да, он дороже, чем все остальные программы, представленные в обзоре, но если речь идет о конфиденциальных данных, то тут нельзя мелочится. В любом случае выбор всегда останется за вами уважаемые пользователи.
Активный пользователь интернета вынужден вводить огромное количество паролей – от социальных сетей, электронных почтовых ящиков, интернет-магазинов, онлайн-игр. В целях безопасности рекомендуется придумывать оригинальный пароль при каждой новой регистрации, ведь иначе злоумышленник, получив незаконный доступ к одному аккаунту, сумеет легко взломать и прочие. Запомнить массу разных логинов и паролей сложно, записать в блокнот – небезопасно, поэтому самым оптимальным вариантом разгрузить память выглядит использование специальных программ для хранения паролей. Достаточно запомнить всего один, главный пароль, чтобы получить доступ ко всем остальным.
Price: Free
LastPass – известный облачный сервис для хранения паролей, разработанный одноименной компанией и доступный на компьютерных операционных системах Linux, Windows, OS X, в магазинах приложений Google Play, AppStore, Microsoft Store, а также в форме плагинов для основных браузеров, например, Mozilla Firefox и Google Chrome. Эта программа не только запоминает идентификационные данные, но и осуществляет управление ими: помогает владельцу сгенерировать новый пароль, меняет данные, если замечает попытку взлома, анализирует сложность и надежность паролей, следит, чтобы пароли от двух разных аккаунтов не были одинаковыми.
К числу ключевых преимуществ программы для сохранения паролей LastPass следует отнести следующие:
- Двухфакторная аутентификация . Большинство сайтов требует ввести только логин и пароль – такая аутентификация называется однофакторной. Двухфакторная запрашивает у пользователя дополнительные данные (например, PIN, номер телефона, отпечатки пальцев), что является гарантией повышенной надежности. На двухфакторную аутентификацию перешли известные порталы Twitter, Amazon, Facebook, а с недавних пор и LastPass . Дополнительная защита паролей обеспечивается за счет Google Authenticator и YubiKey .
- Полноценная и качественная русификация.
- Широкий функционал. После обновления интерфейса LastPass в 2014 году сервис оказался дополнен рядом полезных дополнительных функций. Сейчас пользователь с помощью приложения может хранить документы, применять инструменты для автозаполнения форм интернет-магазинов, следить за изменениями кредитной истории.
LastPass считается бесплатной программой для сохранения паролей, однако, для использования мобильных версий нужно приобрести премиум-аккаунт, стоимость которого составляет 12 долларов.
1Password
Price: Free +
Пользователи 1 Password отмечают в качестве важных преимуществ программы простоту ее применения и весьма дружелюбный и приятный интерфейс. Однако этим плюсы программы для запоминания паролей, вводимых на компьютере, 1 Password не исчерпываются – есть и другие:
- Кроссплатформенность . Программа работает на Windows, Mac OS, Android, iOS, а также встраивается в самые популярные браузеры вроде Opera и Firefox. Впрочем, такая широкая интегрируемость – скорее норма для менеджеров паролей, нежели отличительная черта.
- Синхронизация . Через Dropbox и iCloud можно открыть доступ к хранилищу паролей посторонним пользователям.
- Надежность . База данных защищена шифром AES-128, принятым в качестве стандарта Правительством США. Утечка данных предупреждается встроенным кейлогером – устройством, регистрирующим действия пользователя.
- Генерация паролей. При необходимости создать новый пароль программа для генерации паролей не просто выдает случайный набор цифр и букв, а формирует сочетание, соответствующее параметрам, предварительно указанным пользователем. Такие параметры – количество символов, наличие цифр и даже произносимость сочетания.
- Возможность аудита безопасности. Программа проверит базу данных на наличие дублированных и слабых паролей.
1 Password имеет самый высокий рейтинг среди аналогов в AppStore (4 звезды из 5), однако, и это ПО не лишено недостатков. Программа 1 Password довольно дорогая – владельцам iPhone ради установки полной версии придется расстаться с 5 тыс. рублей. Однако даже уплатив эти деньги, пользователь не сможет производить редактирование базы данных на мобильном устройстве.
Dashlane
Price: Free
Выпущенный в 2012 году менеджер паролей Dashlane сразу обрел мировую популярность благодаря простому качественному интерфейсу, высокой безопасности и возможности автоматического заполнения форм на веб-страницах. К 2016 году произошло несколько обновлений, и программа успела «обрасти» дополнительными функциями. Чем же отличается Dashlane ?
- Двухфакторная аутентификация – признак внимательного отношения разработчиков к надежности своего детища.
- Трекинг покупки и интеграция с электронными кошельками упрощают процесс покупок через интернет-магазины.
- Доступность для любых устройств. Эта программа для сохранения паролей, вводимых на компьютере, работает как с десктопными, так и с мобильными ОС, имеет плагин даже для Internet Explorer. Возможна облачная синхронизация нескольких устройств на разных платформах, но только при покупке Pro-версии.
Базовые функции приложения Dashlane доступны бесплатно, полная версия обойдется почти в 40 $ за год. Несмотря на такую стоимость, русификация приложения до сих пор не проведена – эта главная причина, почему Dashlane не так популярен в среде отечественных пользователей, как, скажем, LastPass .
RoboForm
Price: Free +
RoboForm – «первопроходец» и «долгожитель» среди менеджеров паролей. Разработка этой программы началась еще в 1999 году, однако, и по сей день приложение постоянно продолжает совершенствоваться и наращивать функционал. Те, кто считает, что использование RoboForm сейчас, при наличии множества достойных конкурентов – признак нездорового консерватизма, заблуждаются, ведь программа действительно может предложить пользователю массу уникальных преимуществ:
- Универсальность . Тем, что менеджер паролей работает со всеми основными и актуальными ОС, никого не удивишь. Однако много ли известно программ, которые поддерживаются на Symbian , Palm OS , BlackBerry OS и даже Windows 2003 ? RoboForm – одна из таких.
- Мобильность . Не обязательно устанавливать RoboForm на компьютер или гаджет, чтобы пользоваться им – благодаря функции RoboForm 2 Go , программу можно установить на флешку и запускать на общедоступных компьютерах.
- Надежность. База RoboForm шифруется по стандарту AES-256, который традиционно используется в банковском деле.
- Возможность создать несколько профилей. Одной программой могут пользоваться разные люди – в каждом из профилей, защищенных паролем, будет храниться индивидуальная информация. Это позволяет экономить и приобретать платную версию приложения «вскладчину».
Менеджер можно скачать бесплатно, но тогда хранить более 10 логинов / паролей не удастся. Для хранения неограниченного количества данных, а также облачной синхронизации понадобится версия RoboForm Everywhere , которая стоит около 20 $ в год.
