Estou usando o Chrome e o Chrome Sync; o Google tem acesso às minhas senhas?

32

Estou usando o Chrome (e o Chrome Sync) há muitos anos. Isso significa que o Google, o proprietário do Chrome, conhece todas as minhas senhas?

Eu pergunto porque percebi que o Google é o proprietário do Chrome, e também, é um navegador de código fechado, o que significa que pode haver algum tipo de backdoor que permita ao navegador coletar minhas senhas.

Além disso, é o mesmo caso do Firefox?

    
por Selin Peck 14.05.2014 / 18:31

3 respostas

41

Resposta curta, sim. Se a sincronização estiver ativada e você optar por salvar uma senha, essa senha será enviada aos servidores do Google. Dito isto, os dados são criptografados e o acesso a eles é limitado.

Por padrão, o Google criptografa seus dados sincronizados usando as credenciais da sua conta . O Google indica que esses dados não podem ser descriptografados sem o conhecimento de sua senha e que, na verdade, quando suas credenciais mudam, todos os dados sincronizados devem ser excluídos de seus sistemas e podem ser sincronizados novamente a partir de seus dispositivos (e no processo criptografado novamente com suas novas credenciais).

Assim, se tudo estiver funcionando corretamente, o próprio Google pode ser confiável e a infraestrutura do Google é suficientemente segura para manter terceiros interessados (leia NSA, hackers criminosos etc.), seus dados estarão seguros. Dito isso, no entanto, o Google ainda tem a capacidade de descriptografar seus dados, embora eles não tornem isso conhecido. Isso é simplesmente o resultado de eles serem parte na criação da chave de criptografia (suas credenciais), deixando-os em posição de salvar e possivelmente usar mal as chaves.

Esse nível de confiança é mais do que eu gostaria de colocar neles, portanto, nessa situação, eu escolheria não salvar senhas ou sincronizar dados em seus serviços, mas essa é apenas a minha preferência. Apenas um tolo confia em todos, mas apenas um tolo maior não confia em ninguém.

    
por 14.05.2014 / 19:07
21

Depende das suas configurações de criptografia .

  • Encrypt synced passwords with your Google credentials: This is the default option. Your saved passwords are encrypted on Google's servers and protected with your Google Account credentials.

Com essa opção, o Google tem acesso aos seus dados.

  • Encrypt all synced data with your own sync passphrase: Select this if you'd like to encrypt all the data you've chosen to sync. You can provide your own passphrase that will only be stored on your computer.

Com esta opção, o Google não tem acesso aos seus dados, assumindo que eles estão sendo honestos sobre o que acontece com a sua frase secreta (o que acontece se você esquecer sua frase secreta deixa claro que eles não armazenam para seu benefício), não possua algum buraco (ou backdoor) em sua segurança de sincronização, e sua passphrase é segura o suficiente para resistir a uma tentativa de força bruta do Google (tal senha é possível, mas muito atípica).

Você pode reduzir a oportunidade de o Google interceptar suas senhas usando um gerenciador de senhas off-line como KeePass em conjunto com o Chrome como seu navegador. Você pode remover totalmente a oportunidade deixando de usar os produtos do Google (e se eles realmente empacotaram um keylogger com o Google Drive ou o Chrome? E com o Gmail, as solicitações de redefinição de senha poderiam ser interceptadas de uma forma ou de outra, possivelmente fazendo com que o Google acessasse suas contas, mesmo que suas senhas sejam incontáveis).

Com o Firefox, a segurança dos seus dados depende quão segura é a senha da sua conta do Firefox. Se você escolher uma boa senha, deve ser impossível para o Mozilla ou qualquer pessoa acessar suas senhas. No entanto, isso pressupõe que a Mozilla está sendo honesta sobre como o sistema funciona, e não há nenhum buraco (ou backdoor) em sua segurança. Você pode adicionar uma medida adicional de segurança executando o seu próprio servidor Sync em vez de usar o Mozilla. Como o Firefox é open source e o Mozilla tem um histórico melhor em relação à privacidade que o Google , a probabilidade de eles tentar comprometerem seus dados parece muito menor.

Escolha o nível de paranóia que desejar e com base nas suas necessidades. Eu não usaria nada do Google para atender às necessidades do Snowden, mas, para as necessidades de privacidade, usaria uma senha no Google Sync no mínimo (para que um invasor que acessa sua Conta do Google tenha outra camada para passar antes que ele tem suas senhas).

Além disso, observe que tudo isso sai pela janela se alguém conseguir instalar um keylogger (talvez complementado por um raspador de tela e um gravador de mouse para combater os teclados na tela) no seu PC.

    
por 14.05.2014 / 22:39
1

Sua paranóia é bem justificada. Sim, o Google pode acessar suas senhas. Isso é verdade mesmo se você definiu uma frase secreta personalizada, a menos que essa frase secreta seja realmente aleatória, em vez de ser uma senha típica escolhida por humanos. A razão é que a abordagem usada pelo Chrome para converter essa senha em uma chave de criptografia (PBKDF2-HMAC-SHA1 terá 1003 iterações) é ridiculamente simples para a força bruta. Não é preciso recursos do Google, alguém disposto a investir menos de US $ 1000 em uma placa gráfica pode adivinhar a maioria das senhas dentro de alguns dias. A implementação atual falha mesmo em definir um salt variável, o que permite adivinhar senhas para todas as contas em paralelo.

A implementação atual do Firefox Sync é consideravelmente melhor. Qualquer pessoa meramente acessando dados no servidor não poderá fazer muito com isso, a proteção é sensata. O componente do lado do cliente dessa proteção é atualmente suboptimal no entanto (PBKDF2-HMAC-SHA256 com 1000 iterações), então qualquer um que seja capaz de interceptar o hash de senha como ele está sendo enviado para o servidor será capaz de adivinhar sua senha comparativamente pouco esforço.

Informações adicionais:

por 13.03.2018 / 16:06