Вам здається цікавим саме ключ, який використовується для шифрування паролів у Chrome.
Відповідь:
Кожен пароль шифрується різним випадковим ключем.
Потім зашифрований пароль зберігається у файлі бази даних SQLite:
%LocalAppData%\Google\Chrome\User Data\Default\Login Data
Ви можете використовувати щось на зразок браузера SQLite Database Browser або SQLite Maestro для його перегляду. Ось фрагмент з мого Login Dataфайлу:
origin_url username_value password_value
======================================== ============== ========================
http://thepiratebay.org/register JolineBlomqvist@example.com 01000000D08C9DDF0115D1118C7A00C04FC297EB01000000BB0E1F4548ADC84A82EC0873552BCB460000000002000000000003660000C0000000100000006811169334524F33D880DE0C842B9BBB0000000004800000A00000001000000043C8E23979F5CC5499D73610B969A92A08000000EE07953DEC9F7CA01400000098B5F0F01E35B0DC6BBAFC53A9B1254AC999F4FA
Ви помітите, що пароль - це зашифрований фрагмент даних. Приблизний алгоритм для шифрування нового пароля:
- генерувати новий випадковий ключ сеансу
- зашифруйте пароль ключем сеансу
- зашифруйте ключ сеансу за допомогою відкритого ключа RSA користувача
- генерувати код автентифікації повідомлення (HMAC) для зашифрованих даних
- об'єднати зашифрований ключ сесії, зашифрований пароль та MAC
І Chrome зберігає цю крапку у своїй базі даних SQLite.
Але щоб відповісти на ваше запитання: звідки береться ключ шифрування?
Кожен пароль шифрується різним випадковим чином створеним ключем
Технічні деталі
Звичайно, я залишив технічні деталі. Chrome не шифрує ваші паролі сам. У Chrome немає головного ключа, який використовується для шифрування чого-небудь. Chrome не робить шифрування. Windows робить.
Існує функція Windows CryptProtectData, яка використовується для шифрування будь-яких довільних даних, які вам подобаються. Деталі його дзвінка менш важливі. Але якщо я вигадаю псевдо-мову, яка дещо може бути розшифрованою, як і будь-який мов програмування, Chrome закликає:
CryptProtectData(
{ cbData: 28, pbData: "correct battery horse staple" },
"The password for superuser.com and all the glee therein",
null, //optional entropy
null, //reserved
null, //prompt options
0, //flags
{ cbData: pbData: }); //where the encrypted data will go
Отже, пароль:
- Простий текст :
correct battery horse staple
- Зашифровано :
01000000D08C9DDF0115D1118C7A00C04FC297EB01000000BB0E1F4548ADC84A82EC0873552BCB460000000002000000000003660000C0000000100000006811169334524F33D880DE0C842B9BBB0000000004800000A00000001000000043C8E23979F5CC5499D73610B969A92A08000000EE07953DEC9F7CA01400000098B5F0F01E35B0DC6BBAFC53A9B1254AC999F4FA
Ви помітите, що мені ніколи не потрібно було вводити пароль. Це тому, що Windows опікується усім цим. Наприкінці:
- генерується випадковий пароль для шифрування пароля
- цей пароль шифрується випадковим паролем
- цей пароль шифрується вашим паролем Windows
Тож єдиний спосіб, коли хтось дізнається ваш пароль, це якщо він знає ваш пароль.