Når noen rapporter et problem som krever lokal tilgang til et system, en diskusjon utbrot om hvorvidt det er virkelig et problem som trenger å fikse.
Den ene siden argumenterer for at det er, tatt i betraktning at det er mange måter at noen kunne få lokal tilgang til en enhet. Den andre siden argumenterer for at det er ikke, som en angriper kan gjøre noe på maskinen uansett med lokal tilgang (mot brukerens nivå).
Et problem i Chrome ble avdekket nylig av Lior Margalit på Medium som gjør at alle med lokal tilgang til et system som kjører Chrome for å stjele lagrede data fra brukerens konto.
En forutsetning for det er at den faktiske brukeren må være logget på en Google-konto. Hvis det er tilfelle, kan en angriper kan bruke metoden til å stjele synkronisere data fra konto inkludert passord, skjemafelt data, bokmerker, eller surfing historie.
Det problematiske ting om dette er at dette krever ingen autorisasjon overhodet. I utgangspunktet, hva angriperen trenger å gjøre er å logge ut den faktiske bruker, og logge på med en annen Chrome-konto. Chrome viser en melding for så å legge til brukerens bokmerker, historikk, passord og andre innstillinger til den nye kontoen.
Siden dataene er synkronisert til den nye kontoen, er det nå mulig å få tilgang til alle lagrede data, for eksempel passord på chrome://settings/?søk=passord på en hvilken som helst enhet du logge på med den kontoen. Selve prosessen tar mindre enn et minutt å fullføre
Lior rapporterte problemet til Google, og fikk en “ikke fikse” svar av selskapet i henhold til artikkel.
Prosessen i sin helhet:
- Gå til chrome://settings/manageProfile.
- Klikk på “legg til person”.
- Velg “logg ut”.
- Klikk på “logg på”.
- Logg på med en annen Google-konto.
- Velg “det var meg” når du blir spurt om tidligere Google-bruker som brukes Chrome på maskinen.
- Dataene er synkronisert til den valgte kontoen.
- Gå til chrome://settings/?søk=passord for å bla gjennom passord på hvilken som helst maskin som kjører Chrome forutsatt at du er logget på med den nye kontoen.
Les også: Firefox 58: Mozilla vil samle bare base telemetridata (release kanal)
Hele prosessen tar ikke mer enn et minutt å fullføre.
Avsluttende Ord
Den beste beskyttelsen mot problemet er å aldri forlate enheten uten å slå den av eller låse det. En annen mulighet du har er å ikke logge deg på med en Google-konto. Dette reduserer funksjonaliteten imidlertid og noen brukere kan ikke ønsker å gjøre dette.
Det finnes andre metoder for å stjele data fra en enhet hvis lokal tilgang er tilgjengelig. Det er ingenting å stoppe brukere fra å åpne passord oppføring i Chrome direkte for eksempel
Jeg tror at Google skal legge til en fail safe til prosessen, for eksempel ved å be brukeren om å angi passordet på den andre kontoen for å gå videre med sammenslåing av data.
Nå er Du: Hva er din ta på seg dette?