关于在浏览器保存密码，有人提到这个： https://github.com/moonD4rk/HackBrowserData
如果只是保存一些不涉及金融网站的密码，现在 chrome 可信么
如果只是保存一些不涉及金融网站的密码，现在 chrome 可信么
 | 1 geelaw 10 天前 Windows 的安全模型里，可执行程序没有身份，最细的权限粒度基本上就是“用户”（会话、窗口站点、桌面基本上和用户这一套是正交的），如果用户 A （人）用用户 B （ Windows 权限控制模型的对象）的身份运行程序 C ，那么 C 可以访问所有用户 B 的信息。 可执行程序没有身份，所以不存在加密方式，使仅某个可执行程序可以解密。所谓 app-bound encryption 只是让恶意软件需要绕路（实际上解密的进程是以用户 SYSTEM 的身份运行的，并检查请求解密的进程是 Chrome ），并不能从权限模型上禁止恶意软件。绕过方法很简单：用户 B 当然是有权限调试用户 B 的进程的，因此恶意软件以用户 B 的身份启动后，只需要调试用户 B 的 Chrome 即可注入任意代码，包括“解密之后发送出去”这种代码，此时 SYSTEM 身份的进程会认为请求解密的程序是 Chrome ，所以会同意。 实际上，要给用户 B 身份的非 app container 的应用程序注入代码非常简单，因为 shell 是可扩展的，只要注册一个 shell 扩展，那么在用户使用“打开”“保存”这类对话框的时候就很可能会加载此扩展。 预防针提示：Windows 8 引入的 app container 只能确保 container D 不能干扰 container D 之外的东西，不能确保用户 B 不能干扰它的 containers 。 |
| 2 geelaw 10 天前 所以答案取决于如何理解“安全”，按照“在模型下满足模型里的约束”的定义，当然是安全的。 |
 | 3 galenzhao 10 天前 密码现在我觉得没啥重要的， 2fa ，加硬件 key |
 | 4 passive 10 天前 via Android 以前没有 2FA 的时候从来不在浏览器保存密码，依赖密码管理器填充。最近几年强制各种各样的 2FA 迫使我在浏览器里记住密码。本地 2FA 变成了 1FA 。 真正重要的密钥用 yubikey ，私人银行账户不属于这类（银行也不给用）。 |
 | 5 totoro625 10 天前  1 edge 浏览器就是检验 chrome 浏览器是否安全的最可靠的工具 你在 chrome 里面新建一个密码，打开 edge 看一下有没有同步过来 edge 能偷，其他软件也能偷 |
 | 6 chqome 10 天前 取决于你设备里的其他软件，如果它们想利用 chrome 漏洞窃取密码的话 |
 | 7 kfpenn 10 天前 我就是那种用隐私换方便的人，不管什么网站，都会保存，反正又不会在网站上等银行账户什么的 |
Select Language