Segurança em cavalos-marinhos

1

Sendo um usuário bastante novo (Mint 18.1), estou um pouco aborrecido com o comportamento entre o cavalo-marinho e os aplicativos que solicitam uma senha da carteira. No meu caso, o cliente ownCloud pede para armazenar minhas credenciais de oC no cavalo-marinho, então tecnicamente não posso iniciar automaticamente oC sem que a categoria na qual ele está armazenado ("padrão") seja desbloqueada. Mas uma vez desbloqueado, qualquer pessoa pode ter acesso à senha marcando "mostrar a senha".

Não deveria "Mostrar a senha" requer uma senha sudo? Isso parece bastante básico para mim.

Obrigado

    
por jfk 07.02.2017 / 20:54

1 resposta

1

O objetivo de uma carteira de senha é que os aplicativos podem recuperar senhas da carteira e enviá-las para o serviço que exige a senha. A carteira é armazenada criptografada, sua senha de login é usada para descriptografá-la quando você faz o login.

O Seahorse não é o aplicativo de carteira, é um aplicativo que permite navegar e editar sua carteira. Tem as mesmas permissões de acesso que qualquer outro programa que você executa.

Não é verdade que "qualquer um pode ter acesso à senha". Apenas um programa em execução na sua conta pode acessar a senha. Qualquer programa que você execute na sua conta é efetivamente você - está agindo em seu nome.

"Mostrar a senha" é exatamente a mesma operação que "recuperar a senha para usá-la para fazer login em algum lugar". Isso não requer acesso root. Acesso raiz é sobre fazer coisas que afetam todos os usuários da máquina, como configurar hardware ou software instalado. Suas senhas são apenas suas, e digitar sua senha quando você faz login ou quando você desbloqueia sua tela mostra para o computador que você é você.

Existem protocolos que permitem “travar” uma senha dentro de um ambiente seguro, de modo que a senha nunca possa ser extraída dela (exceto com privilégios mais altos, possivelmente apenas por meio de ataques físicos), o ambiente seguro permite usar apenas essa senha como parte de uma tentativa de login e o que sai do ambiente seguro é um token único derivado da senha que um serviço remoto pode verificar. Esses protocolos não são muito comuns e, onde são implementados (por exemplo, OAuth), o ambiente seguro geralmente é um serviço de nuvem de terceiros.

Sua pergunta parece que você está acostumado com o modelo de segurança de sistemas operacionais para dispositivos móveis, como iOS e Android. Esses sistemas têm um modelo de segurança peculiar, em que isolam os aplicativos uns dos outros. Sistemas operacionais de desktop como Linux e Windows não fazem isso, eles apenas isolam os usuários uns dos outros. Além disso, esses sistemas têm um modelo de segurança muito peculiar, no qual o usuário não tem controle total do software em execução no dispositivo, mesmo que possua o hardware legalmente, a menos que o dispositivo tenha sido “desbloqueado” (“rooted”). Com um sistema desktop, seu computador é seu, você não está impedido de acessar os dados nele. Suas senhas são seus dados, para que você possa acessá-los e qual aplicativo você usa para fazer isso é inteiramente da sua conta.

    
por 08.02.2017 / 02:07