گوگل کروم و مستر پسورد ! چرا Google Chrome از Master Password استفاده نمیکند ؟ چاره چیست ؟ (اختصاصی)

[دانه کولانه]

گوگل کروم و مستر پسورد ! چرا Google Chrome از Master Password استفاده نمیکند ؟ چاره چیست ؟

Why No Google Chrome Master Password For Saved Passwords?

How Secure are Your Saved Chrome Browser Passwords?

گوگل کروم مرورگر خیلی خوبیه ولی بنده از فایرفاکس استفاده میکنم !
به چند دلیل کروم به صورت معمول ویرایشگر متن WysIWyg رو نداره و برای منی که هر روز با ارسال و کپی مطالب در نت سر و کار دارم خیلی دردسر داره
اما افزونه ای برای کروم و اختصاصا برای ویبالتین (vbulletin) وجود داره که کار ما رو راه میندازه اما کار بقیه رو نه !
WYSIWYG editor for Google Chrome!

و یا از اینجا دانلود کنین

دلیل بعدی عدم پشتیبانی از RSS سایتهاست که البته این از ضعف گوگل نیست دلیل تجاری داره ! احتمالا گوگل ترجیح میده وقتی سرویس فیدبرنر و سرویس انلاین آر اس اس خوان داره یوزرها از اون استفاده کنند و دیگه این امکان رو در مرورگر خودش قرار نمیده .

دلیل بعدی کرش های متعدد نسخه های اولیه ای هست که من استفاده میکردم و سابقه بدی در ذهنم گذاشت البته امروز دیگه به اون صورت نیست و بهتر شده اما خاطره ش برای من جا مونده

دلیل بعدی اینه که کروم هر تب رو در یک پروسه جدید باز میکنه یعنی اگر 15 تا تب باز داشته باشی در task manager نه 1 پروسه بلکه 15 پروسه مجزا خواهی دید
البته قطعا قسمتی از سرعت و سبکی کروم مدیون همین مساله س اما برای کسی مثل من که همزمان 20 تا تب باز داره و کار میکنه این مساله بی نظمی به وجود میاره و دوباره از طرفی مشکلات دیگری رو حادث میشه

اما از همه ی اینها بدتر

عدم پشتیبانی کروم از یک سیستم کدگذاری پسوردهای ذخیره شده به صورت مجزا و مستقل از ویندوز و بر اساس پسورد اعمالی خود کاربر هست

چیزی که انرا در فایرفاکس با نام Master Password میشناسیم
یعنی هر کسی به راحتی میتونه پشت کامپیوتر شما بشینه کروم رو باز کنه و پسوردهای ذخیره شده شما رو ببینه یا حتی بدون باز کردن کروم با استفاده از ابزارک های کوچکی پسوردهای شما رو واسه خودش کپی کنه .

در پست زیر توضیحات رو ارائه خواهم داد .

کوروش نعلینی

[دانه کولانه]

چگونه در کروم پسوردهای ذخیره شده را مشاهده کنیم How to view saved passwords in google chrome

کافیست از منوی شبیه به آچار ، گزینه Options را انتخاب کنید . سپس به بخش Personal Stuff رفته و در قسمت Passwords روی دکمه Manage saved passwords کلیک کنید . حالا لیستی از سایت هایی که کروم کلمه عبور مربوط به آنها را ذخیره کرده است ، در اختیار شما قرار میگیرد . روی هر کدام از ردیف ها که کلیک کنید ، تصویری مانند زیر مشاهده خواهید کرد .

روی دکمه Show کلیک کنید . خیلی راحت میتوانید کلمه عبور مربوطه را مشاهده کنید .

Viewing Saved Passwords

Chrome, includes its own password manager which is accessible via Options > Personal Stuff > Manage saved passwords. This is nothing new and if you allow Chrome to store you passwords, you are probably already aware of this feature.

A nice touch of minor security is that you must first click the show button next to each password you want to view.

While there is no restriction to access this screen (i.e. if you have access to the desktop where Chrome is installed, you can get to the passwords), there is at least user intervention required to view each password with no way to export them in bulk to a plain text file.

پسوردهای ذخیره شده گوگل کروم در کجا ذخیره میشوند ؟ فایلهایی که گوگل کروم پسوردها را در آن مینویسد کجاست ؟
Where is the Password Data Stored? google chrome !



یک فایل دیتابیس SQLite در ادرس

%UserProfile%\AppData\Local\Google\Chrome\User Data\Default\Login Data

وجود داره که پسورد ها در اون ذخیره شده اند
جدای از راه فوق شما میتونین با این فایل رو با
Download SQLite Browser from Sourceforge
از سایت سورس فورج دانلود کنین و باز کنید و ساختار اون رو مشاهده کنید .

You can open this file (the file name is just “Login Data”) using SQLite Database Browser and view the “logins” table which contains the saved passwords. You will notice the “password_value” field is unreadable because the value is encrypted.

[دانه کولانه]

چرا کروم از مستر پسورد استفاده نمیکند ؟ master password firefox vs google chrome

مستر پسورد چیه و چیکار میکنه ؟ کاربردش چیه ؟

همونطور که دیدید کروم و سایر مرورگر ها مثل فایرفاکس پسوردهای سیو شده شما رو در یک فایل ذخیره میکنند
دیدید که به راحتی در کروم میشه پسوردها رو مشاهده کرد و این میتونه امنیت شما رو به مخاطره بندازه
همین مساله در فایرفاکس هم وجود داره پسوردها در یک فایل به سادگی ذخیره میشه و حتی میشه اون رو به راحتی باز کرد و دید

اما فایرفاکس یه قابلیت داخلی به نام Master password رو داره

Use a Master Password to protect stored logins and passwords

 
 
 
 Defining a master password
 
 By default, Firefox does not use master passwords to protect stored credentials. To define a master password: 
 
 At the top of the Firefox window, click on the Firefox button (Tools menu in Windows XP) and then click OptionsOn the menu bar, click on the Firefox menu and select Preferences...At the top of the Firefox window, click on the Edit menu and select PreferencesAt the top of the Firefox window, click on the Tools menu and select Options...On the menu bar, click on the Firefox menu and select Preferences...At the top of the Firefox window, click on the Edit menu and select Preferences...
Security panel.
 Click the 
Use a master password. 
 
 
 
 

با استفاده از مستر پسورد فایرفاکس میتونین یه پسورد داخلی تعریف کنین که اون فایل رو با اون کلمه کدگذاری میکنه بنابراین هیچ کس جز خود شما که اون پسورد اصلی رو میدانید نمیتونه پسوردهاتون رو مشاهده کنه
همون طور که در اموزش بالا میبینین برای استفاده از پسوردهاتون باید ابتدا پسورد اصلی رو وارد کنین .

پس شما یک پسورد به فایرفاکس اعلام میکنید و فایل پسودرهای شما رو با ان کلمه رمزگذاری میکند وتا خودتون اون رو وارد نکنین کسی نمیتونه پسوردها رو ببنیه .


گوگل کروم در مورد پسوردها چیکار میکنه ؟ :

کروم با استفاده از پسورد خود ویندوز (یوزر شما) فایل مورد نظر رو کد گذاری میکنه بنابراین همونطور که در پست قبلی مشاهده کردین وقتی فایل مورد نظر توسط SQLite Browser باز میشه عملا پسوردها خوانا نیستند و کد شده هستند
اما دیدید که خود کروم به راحتی اونها رو نمایش میده بنابراین افراد غیر مجاز به سادگی میتونند اونها رو مشاهده کنند
و بدتر اینکه عموما هیچ پسوردی روی یوزرهای ویندوز ها نیست یا پسوردهای بسیار ساده ای مثل 1234 وجود داره که به سادگی توسط نرم افزارهای مختلف و ابزارکهایی که از اونها یاد کردیم پسوردها قابل مشاهده میشوند (نیرسافت ! )

(در نگاه اول کروم امن تره چون فایرفاکس به طور دیفالت از مستر پسورد استفاده نمیکنه و پسوردها لخت و عریان ! در فایل قابل خواندن هستند اما مال کروم حداقل با پسورد ویندوز کد شده اما وقتی از مستر پسورد فایرفاکس استفاده کنی دیگه همه چی عالی میشه ! )

[دانه کولانه]

پاسخ رسمی گوگل در جواب اینکه چرا کروم از مستر پسورد استفاده نمیکنه؟

Google, Why does your browser Chrome not have a master password for saved passwords? This is ridiculous

بحث مربوطه در گوگل ساپورت :

http://productforums.google.com/forum/#!topic/chrome/k6JmRoGJp5w

گوگل رو دوست دارم زیاد! ولی فکر میکنم دیگه چون استفاده نکرده مجبوره این حرف رو بزنه !
گوگل گفته که ما اعتقادی به استفاده از ابزاری مثل مستر پسورد نداریم زیرا یه حس اطمینان کاذب برای کاربر ایجاد میکنه و باعث میشه که کاربرا دیگه به فکر راه های اساسی ایمن کردن خودشون مثل انتخاب پسوردهای طولانی و قوی نباشند ’

گوگل میگه که باید پسوردهای طولانی و قوی برای ویندوزتون انتخاب کنید .

Why Doesn’t Google Chrome Have A Master Password?
Google’s response in the Chrome support forum is baffling: ‘Our decision not to implement the Master Password feature is based on our belief that it creates a false sense of security instead of actually providing a strong security benefit’.


.

کسی در این جا به تمسخر گفته :

I suppose Google would advocate removing car door locks because the locks can easily be bypassed by breaking the window. By removing the locks completely, drivers will be more careful where they park their car.

[دانه کولانه]

چگونه بهترین استفاده را از master password فایرفاکس داشته باشیم ؟

بگذارید قبلش یه جمع بندی کلی روی فایرفاکس با مسترپسورد و گوگل کروم بدون مستر پسورد داشته باشم :

مزایا استفاده از مستر پسورد :

بالابردن امنیت پسوردهای ذخیره شده شما و عدم نمایش ان به اشخاص غیر مجاز که در مقابل ان :
کروم این امنیت را ندارد و به راحتی پسوردهای سیو شده را به افراد نشان میدهد ! .

قابلیت انتقال پسوردهای شما به هر کجا که دلتان بخواهد ! و به همراه داشتن پسوردهایتان در هرکجا (توضیحاتش رو در ذیل خواهم نوشت)

در حالی که برای کروم این اتفاق به این صورت نمی افتد و اتفاقا یک ضعف هم پیش می آید و آن اینست :

ضعف کروم در ذخیره سازی پسوردها در یک فایل با پسورد اکانت ویندوز:

شما اگر به هر دلیلی پسورد ویندوزتان عوض شود یا فراموش شود پسوردهایتان از بین رفته و دیگر نمیتوانید آنرا بازیابی کنید
فرض کنید پسورد ویندوزتون رو فراموش کرده این و نمیتونین دیگه وارد ویندوز بشین دیگه پسوردهاتون قابل بازیابی نیستند یعنی شما نمیتونین فایل پسوردها رو در جایی ذخیره کنین و دوباره ویندوز نصب کنین و ازش استفاده کنین چون یادتون رفته با چه پسوردی کد شده
(شاید این ایراد مطرح بشه که اگه بحث فراموشی یک پسورد به میان می آید خب ممکنه شما مستر پسورد فایرفاکستون رو فراموش کنین احتمال جفتش یکیه - بله اولا مساله این هست برای تفهیم یک سناریوی دیگه این مثال ناقص رو زدم سناریو اینه که شما اگر کامپیوترتون خراب بشه و ویندوزش دیگه بالا نیاد مجبورید ویندوز بعدیتونم با همون پسورد ویندوز قبلی براش اکانت بسازید تا بتونین از فایلهای پسوردها که ازش کپی گرفته اید استفاده کنید
و مساله دوم این هست که شما فرض کنید به هر دلیل یک ادم بیکار میاد پسورد ویندوز شما رو عوض میکنه و یکبار میاد داخل ویندوز و چیزم به شما نمیگه - پسوردهاتون با پسورد جدید کد میشه و شما نمیتونین بازیابیش کنین ! این مساله کاملا به تجربه ثابت شده که راه های زیاد و ساده ای برای تعویض غیر قانونی پسورد ویندوزها وجود داره اما برای عوض کردن مستر پسورد راه غیر قانونی ای وجود نداره )

( و مساله دیگه اینه که شما نمیتونین به راحتی فایلهای پسوردتون در گوگل کروم رو روی فلشتون به کامپیوتر دیگه ای منتقل کنین و اونها رو استفاده کنین چون ممکنه پسورد ویندوز دوم با پسورد ویندوز اول یکی نباشه )


این دو تا از مهمترین مواردی هست که من از مستر پسورد استفاده میکنم .


تنها عیب مستر پسورد فایرفاکس
عیب امنیتی نیست ! دست و پا گیریه
هر سایتی که ازش یه پسورد سیو شده موجود باشه با باز شدن اون سایت در فایرفاکس صفحه ورود مستر پسورد ظاهر میشه و شما میتونی اوکی یا کنسل کنی
مساله اینه که نباید خود به خود ظاهر بشه مگر اینکه خودت بخوای
چون دست و پا گیر میشه
مثلا دوستت میخواد با کامپیوتر شما بره داخل ایمل یاهوش
صفحه یاهو که باز میشه میخواد وارد بشه یه بار پنجره مستر پسورد باز میشه که باید کنسل کنه

این مساله میتونست همونطور که در اوپرا با فشردن کنترل و اینتر فرم ورود رو پر میکنه انجام میپذیرفت یعنی شما در فایرفاکس با مستر پسورد تا وقتی که کنترل و اینتر رو نزنی هیچ اتفاقی نیفته و مثل همیشه کارش رو بکنه .

این مساله وقتی بغرنج میشه که : شما 15 تا تب فایرفاکس که هر 15 تا سایتهایی هستند که شما در اون یه پسورد ذخیره شده دارین بازه و فایرفاکس رو میبندین و تب ها ذخیره میشه
دفعه بعد که فایرفاکس رو باز میکنید هر 15 تا باهم لود میشن و 15 بار پنجره مستر پسورد باز میشه (البته در نسخه های جدید فایرفاکس دیگه تب ها اتوماتیک بعد از باز شدن فایرفاکس لود نمیشن مگر زمانی که خودت بخوای و روشون کلیک کنی )


چگونه بهترین استفاده را از master password فایرفاکس داشته باشیم ؟

چگونه پسوردهای خودمون رو روی فلشمون همیشه همراهمون داشته باشیم ؟

من همیشه پسوردهام روی فلشم همراهمه ! هیچ کسم نمیتونه ازش استفاده غیر قانونی بکنه
به جای استفاده از سایتهای انلاین مدیریت پسورد(لست پس و یا روبو فرم) و نرم افزارهایی که این کار رو میکنند یا کارهای ابتکاری مختلف
من سه فایلی که در فایرفاکس مسئول این کار هستند رو در فلشم دارم و همیشه با خودم همه جا میبرمش و کل پسوردهام داخلشه و چون کد شده هست و فقط خودم مستر پسورد رو میدونم از اون استفاده میکنم


این 3 تا فایل رو

cert8.db
key3.db
signons.sqlite

که در پوشه :

\Documents and Settings\userrrrrrrrrrr\Application Data\Mozilla\Firefox\Profiles\

هستند رو همیشه به همراه داشته باشین .
و همیشه در کامپیوتر جدید یا ویندوز جدیدتون در همون مسیر جایگزین کنین

یعنی امروز که قراره ویندوزتون که دیگه عمرش به 3 سال ونیم رسیده و میخواین عوضش کنین این 3 فایل رو ذخیره کنین بعد ویندوز رو عوض کنین فایرفاکس رو نصب کنین و اون 3 فایل رو در یوزر جدید جایگزین کنین !.
بعد ازتون مستر پسوردتون رو میخواد که همون قبلی رو بهش اعلام میکنین

( در نسخه های قدیمی فایرفاکس پسوردها در signons3.txt (signons2.txt in Firefox 2.0.0.x) ذخیره میشد بعد از فایرفاکس 3.5 در همون فایل بالا که گفتم ذخیره میشه)

بده ترا خدا ؟

Backing up and restoring passwords firefox



Firefox stores your password data in two files: key3.db (Master Password / Encryption key) and a "signons" file (encrypted names and passwords). You can back up your passwords by making a copy of the files "key3.db" and "signons" for your Firefox version. Firefox 2 uses signons2.txt. Firefox 3.0.x uses signons3.txt. Firefox 3.5 and later versions, including current beta and nightly builds, use signons.sqlite. [4]
See Profile folder - Firefox and Profile backup for additional information.
You can also use the Password Exporter or FEBE add-ons to back up your passwords.

[دانه کولانه]

راه حلهای دیگر برای استفاده از کروم در عین ایمن بودن 15 Best Google Chrome Security Extensions

راه حل هایی که وجود داره تمسک ! جستن به ابزارهای دیگر و سرویسهای انلاین است
مثلا استفاده از افزونه

LastPass - The LastPass Chrome extension is a robust password manager that replaces all your separate web logins with a single master password. Remember that one, and LastPass will log you into the rest. Signing up for a new service? LastPass will generate a strong password for you. Got a new web form to fill out? LastPass will complete it for you, even if it's AJAX-based. And all the password data is locally encrypted, so even if the LastPass service is hacked, your passwords are safe. Stop using the Post-It notes taped to your monitor and let LastPass safely recall your passwords

.

هست . یا استفاده از روبو فرم

که یک راه کلی هست.

 استفاده از افزونه LastPass
 شرکتی به نام LastPass ابزاری  هایی را به منظور ذخیره سازی کلمات عبور به صورت آنلاین ارائه میدهد که  میتوانید از آنها بروی مرورگر خود استفاده کنید . افزونه ی LastPass برای  هر ۵ مرورگر مطرح اینترنت یعنی کروم ، فایرفاکس ، اپرا ، اینترنت اکسپلورر و  سافاری موجود است که میتوانید نسخه کروم آن را از وبسایت همین شرکت و بدون  هیچ تحریمی دریافت کنید .
 روش کار این افزونه بدین صورت  است که ابتدا باید در سایت Lastpass ثبت نام کنید . وقتی افزونه Lastpass  را روی مرورگر خود نصب کردید ، کافیست وارد سایت Lastpass شده و لاگین کنید  . از این به بعد هر کلمه عبوری را در هر سایتی وارد کنید ، Lastpass پس از  اجازه گرفتن از شما ، آن را با سرورهای خود همگام سازی میکند .
 یکی از خوبی هایی که Lastpass  دارد اینست که کلمات عبور شما در سرور این شرکت قرار میگیرد و دیگر لازم  نیست پس از نصب مجدد ویندوز و یا تعویض مرورگر دوباره کلمات عبور را برای  هر سایتی وارد کنید . با وارد کردن نام کاربری و کلمه عبورتان در سایت  Lastpass ، ارتباط شما با سرور برقرار شده و تمامی پسوردها ( هر زمان که  لازم باشد ) در اختیار مرورگرتان قرار خواهد گرفت .
 
 افزونه Xmarks
 این افزونه در واقع کارش اینست  که بوکمارک های شما را نگهداری کند . اما قابلیت همگام سازی کلمات عبور را  هم دارد . لازم به ذکر است که مدتی پیش وبسایت مربوط به این افزونه و تمام  امتیازات آن به شرکت Lastpass واگذار شد

به طور کلی این 15 افزونه به بالابردن امنیت کروم کمک میکنه :

15 Best Google Chrome Security Extensions


By Jay Garmon
Google Chrome is already the safest web browser on the market, but when it comes to security you can never be too careful. We've compiled 15 Chrome extensions that lock down Google's browser tighter than Fort Knox.
Some of these extensions will sound familiar to readers of our Internet Safety Guide or our original list of must-have Chrome extensions. They haven't gotten less useful, but if security and online privacy are your primary concerns, the additional extensions listed below will help you surf even safer.
1. Web of Trust (WOT) - If you have just one Chrome security extension, Web of Trust should be it. The WOT extension throws up traffic signal warnings for every link on the web: green for safe, amber for suspicious, and red for avoid at all costs. The ratings are powered by user feedback, so feel free to throw your own kudos or condemnation up as you surf.
2. SiteAdvisor - Like Web of Trust, McAfee's SiteAdvisor Chrome extension warns you whether the link you're about to follow -- or the page you're on -- is safe to surf. SiteAdvisor's alerts, however, are powered by McAfee's security research, rather than the crowdsourced feedback of Web of Trust. Green checkmarks mean safe; red Xs mean risky.
3. LastPass - The LastPass Chrome extension is a robust password manager that replaces all your separate web logins with a single master password. Remember that one, and LastPass will log you into the rest. Signing up for a new service? LastPass will generate a strong password for you. Got a new web form to fill out? LastPass will complete it for you, even if it's AJAX-based. And all the password data is locally encrypted, so even if the LastPass service is hacked, your passwords are safe. Stop using the Post-It notes taped to your monitor and let LastPass safely recall your passwords.
4. Secbrowsing - The Secbrowsing Chrome extension provides a single but vital function: It makes sure all your browser plug-ins are up to date. Running an old Flash plug-in with a known vulnerability? Secbrowsing will let you know. Missing the latest Java security update? Secbrowsing has your back.
5. Click & Clean - The Click & Clean Chrome extension is the nuclear option for erasing your browsing history. Besides removing all the URLs from your browser logs, Click & Clean also deletes every cookie, web temporary file, local web artifact, LSO and download history item from your browser -- whether they could do harm or not. In short, it makes it look like you've never browsed the Internet before.
6. View Thru - When you click on a shortened URL from a service like bit.ly or tinyURL, you have no idea what kind of site (or security threat) you'll arrive at. The View Thru Chrome extension creates mouseover blurbs that expose the destination URL behind those shortened links. Never click blind again.
7. KB SSL Enforcer - If certain sites or services offer a Secure Sockets Layer login or access option, the KB SSL Enforcer will automatically select that https:// URL. The days of using unnecessarily unencrypted

webaddresses

are over.
8. PasswordFail - For the extra paranoid among us, the PasswordFail Chrome extension warns you off any website that stores or sends your login password as clear text. Basically, if one of these sites is hacked, your undisguised password is sitting openly in a database, ready to be tried on all your other online accounts. PasswordFail lets you know if your password is an easier hacking target by calling out websites that don't encrypt their stored or e-mailed passwords.
9. Credit Card Nanny - This Chrome extension is just like PasswordFail except Credit Card Nanny highlights websites that store or send your credit card number (and other data) as clear text. The fact is, many web transaction forms simply e-mail your credit card number to the site administrator for manual processing, making the card number, your card expiration date, pin number, or any other transaction data easily intercepted. Credit Card Nanny helps you avoid the online stores that engage in this risky business.
10. TrustGuard - Sort of a Better Business Bureau for the web, the TrustPilot Chrome extension uses customer feedback to rate online stores for their security and business practices: Red for avoid, orange for use caution, and green for safe. If you come across an e-commerce site that looks sketchy, odds are TrustPilot can confirm or deny whether it's safe to make a purchase. And for established sites that have current security concerns -- like when when they're under a hack attack -- TrustPilot will let you know when its safe to shop there again.
11. Secure Profile - It's all fine and good not to share your passwords or browsing data with unknown online parties, but what about the people who use your PC? The Secure Profile Chrome extension encrypts and password-protects your Chrome profile data -- including all those stored passwords and form auto-completes -- so that anyone who gains access to your machine can't also gain access to your online accounts.
12. AdBlock - As much a privacy concern as a security issue, online ads range from intrusive to risk-inducing. The AdBlock Chrome extension blocks most of them, especially those than use Flash, prior to downloading. Thus you'll browse safer and faster.
13. BugMeNot Lite - Almost every web site seems to want you to create an account -- and to track your access history across the Internet -- even if you only plan on visiting once. With the BugMeNot Lite Chrome extension, simply click CTRL+i and those onerous login forms will be auto-completed with anonymous information. You get access, but the site gets no data. Sounds fair to me.
14. FlashBlock - If AdBlock doesn't go far enough, the FlashBlock Chrome extension will prevent any Flash content from loading on a web page. Instead, a placeholder icon is displayed, so you can unlock those select Flash elements you want to see -- like videos -- without suffering through the slowdown and potential security risks a full Flash onslaught can present.
15. Google Alarm - Perhaps more amusing the useful, the Google Alarm Chrome extension sounds a shrill siren alert anytime you load a page where Google is collecting browsing data, which is to say any page running Google Analytics or Google AdSense. Running this extension for just a few hours will illustrate just how often Google has their eye on you (and how glad you are this extension has a silent mode). You may not run Google Alarm long, but you'll learn a great deal while it's operating.
If we neglected to mention a mission-critical Chrome security extension, please sound off in the related discussion area. The price of surfing freedom is eternal vigilance, after all.