闽南网
注册
闽南网 > 新闻中心 > 数码科技 > 正文

浏览器保存密码自动登录安全吗 可能被黑客记下来了

来源:极客公园 2018-01-04 17:36 闽南网

­  安全研究人员发现,营销公司已经开始利用浏览器内置密码管理器中已存在 11 年的一个漏洞,来偷偷窃取你的电子邮件地址,以便在不同的浏览器和设备上投放有针对性的广告。

­  除了窃取电子邮件信息外,该漏洞还可能允许恶意用户直接从浏览器内偷偷保存你的用户名和密码,在不需要和你交互的情况下。

­  每个主流的浏览器(Google Chrome, Mozilla Firefox, Opera or Microsoft Edge)都有一个内置的密码管理工具,它允许用户保存自己的登录信息并用于自动填充表单(网页中负责数据采集功能的部分)。

­  Google Chrome中的密码和表单功能

­  这些浏览器内置的密码管理器是为了方便用户使用而设计的,因为它们会自动检测网页上的登录表单,并相应地填写在密码管理器中保存的用户名和密码等凭证。

­  来自普林斯顿大学的一个研究小组发现,有两家营销公司正在利用这种内置的管理器漏洞来追踪 Alexa(一家专门发布网站世界排名的网站)上一百万个站点中的约 1110 个站点的访问者。 研究人员发现这些网站上的第三方跟踪脚本在网页后台注入了隐蔽的用户登录(窗口),欺骗了基于浏览器的密码管理器,使用保存的用户信息自动填写表单。

­  研究人员表示:一般来说,登录表单的自动填充功能不需要用户做任何操作,所有的主流浏览器都会立即填充用户名(通常是电子邮件地址),而不管表单的可见性如何。Chrome 不会自动填充密码字段,直到用户点击或触摸页面上的任何位置。而其它浏览器不需要用户交互来自动填写密码字段。

­  这些脚本主要是为跟踪用户而设计的,因此它们会检测用户名,并在使用 MD5、SHA1 和 SHA256 算法进行散列(也被称作「哈?!?,将任意长度的输入转换成固定长度的输出)处理之后将其发送给第三方服务器,然后将其用作特定用户的持久 ID,以便对用户进行持续跟踪。

­  因为用户往往只使用一个电子邮箱,它是独一无二的,而且几乎不会更换,因此电子邮件地址是个很好的用于跟踪用户的标识符。无论是清除 cookies、使用隐私浏览,还是更换设备,都不会阻止用户被追踪。

­  尽管研究人员已经发现了使用这种跟踪脚本来获取用户名的市场营销公司,但以相同方式收集用户密码的组织目前未被发现,它存在的可能性非常高。 然而,大多数第三方密码管理器,如 LastPass 和 1Password 都不容易受到这种攻击,因为它们避免了自动填充不可见的表单,并且需要用户交互。

­  据极客公园测试,多款主流浏览器已经修复了这个漏洞,不过我们仍然可以看到图中的演示。防止此类攻击的最简单方法是在浏览器上禁用自动填充功能。同时,极客公园建议用户要定期修改密码。

­  攻击演示图(来自 The Hacker News )

­  其他的密码管理工具也可能出现问题。今年 3 月,LastPass 再次被爆出安全漏洞,谷歌 Project Zero 团队的安全研究人员 Tavis Ormandy 发现,在 LastPass Chrome 和 Firefox 4.1.42 版本插件中存在三个漏洞,攻击者能利用漏洞从密码管理器中提取密码,还可以执行受害者设备上的命令,该漏洞存在于所有操作系统中。

­  LastPass 并非唯一被曝漏洞的密码管理类应用,其他密码管理器也出现过各种漏洞。没有密码管理器之前,我们记不住所有的密码,而有了密码管理器,它说不定会泄露了你的密码。

­  不过,随着「扫描二维码登录」、生物识别技术和分析用户行为的技术已经走进了大家的生活,或许在未来的某一天,我们就可以告别令人讨厌的密码了。

原标题:还在用浏览器内的保存密码?可能被黑客记下来了
责任编辑:李晓灵
相关阅读:
新闻 娱乐 福建 泉州 漳州 厦门
猜你喜欢:
热门评论:
频道推荐
  • 国家统计局:2017年"二孩"出生数量多少?201
  • 王显刚、张国华为云南省人民政府副省长
  • 广东中山取消积分入户政策 中山最新入户政
  • 周杰伦胖了吗怎么减肥?周董:奶茶还是会喝
  • 15岁国象少女朱锦尔获人民日报近3千字长文
  • 新闻推荐
    2018年或形成弱拉尼娜 中国冬季仍偏暖 十九大后,习近平频频喊话“关键少数” 新的一年有啥大事?2018年新闻日历发布 2018年1月一批新规施行:影响你我生活 2017年十大网络流行语 有你的最爱吗?
    视觉焦点
    刘亦菲将主演迪士尼真人版花木兰 电影什么时候上映? 刘亦菲将主演迪士尼真人版花木兰 电影什么时候上映?
    2017年加拿大“圣诞列车”行至多伦多 为沿途社区带去圣诞祝福 2017年加拿大“圣诞列车”行至多伦多 为沿途社区带去圣诞祝福
    精彩视频
    24层高楼没电梯怎么回事?重庆没电梯24层楼在哪火锅英雄取景地
    24层高楼没电梯怎么回事?重庆没电梯24层楼在哪火锅英雄取景地
    监控实拍蹒跚学步女童遭陌生女子猛踹头视频 警方通报全文
    监控实拍蹒跚学步女童遭陌生女子猛踹头视频 警方通报全文
    专题推荐
    中国共产党第十九次全国代表大会专题报
    中国共产党第十九次全国代表大会专题报道

    中国共产党第十九次全国代表大会18日至24日召开。

    2018泉州两会专题
    2017海艺节专题
     
    48小时点击排行榜
    频繁出现性幻想正常吗? 家长注意!你家孩子看的“小猪佩奇” 背后 重庆云阳向全球招标 建世界级侏罗纪恐龙 蒙牛遭三波谣言攻击,中国奶协会长高鸿宾 等了1小时还没充上电 男子怒砸首都机场6 今年中国公民过境哈萨克斯坦享受72小时免 广州海珠9岁男孩被邻居绑架杀害 犯罪嫌疑 微信小程序陷“假货风波” 微信方面回应
    闽南网
    京城在线 | 久乐娱乐场 | 苹果铃声 | 有声小说 | 赌球心得 | pk10开位号杀下期一码 | pk10单双大小稳赚技巧 | 现金网社区 | 易博吧论坛 | 腾讯分分彩后三大底 | 怎样控制自己每天赢500 | 微信号 | 北京赛车信誉微信群9.8 |