爱意满满的作品展示区。
penzi

我做了一个插件,让你远离窃取 Chrome 明文密码的恶意软件

  •  
  •   penzi · May 22, 2024 · 5498 views
    This topic created in 904 days ago, the information mentioned may be changed or developed.
    Chrome 保存的密码并不安全,非常容易被恶意软件窃取。已经是一个老生常谈的话题。

    我给自己做了一个插件,防止我的密码在我不知情的情况下全部泄露。


    原理很简单,点击密码输入框时,会弹出一个二维码。用 iPhone 扫描,在 Safari 中打开二维码网址即可通过手机输入密码。




    这样,所有的密码都可以随机生成后保存在世界上最安全的系统 iOS 上。
    iCloud 也有 Windows App, 但是从我的角度,我觉得这个 App 比 Chrome 更不安全。如果系统环境本身不安全,客户端的所有加密都是徒劳,在 Windows 上用 iCloud 相当于把所有重要数据全部暴露在恶意软件面前。

    安装方法: tampermonkey 安装脚本 https://github.com/SuperSafeMessage/PasswordFromPhone/raw/main/PasswordFromPhone.user.js

    代码仓库: https://github.com/SuperSafeMessage/PasswordFromPhone


    注意:
    恶意软件依然可以在输入的时候窃取密码,依然可以在登陆后窃取 cookie 。
    重要的操作还是在世界上最安全的 iOS 系统上用世界上最安全的 Safari 浏览器吧
    Supplement 1  ·  May 23, 2024
    后续计划
    1. 增加一个登录页面 url 的历史记录,可以了解哪些账号可能存在风险
    Supplement 2  ·  May 23, 2024
    如果你觉得 Windows 和 iOS 一样安全或者更安全,iOS 密码管理器和 Chrome 的管理器一样不安全

    我建议你把帖子关掉
    Supplement 3  ·  May 23, 2024
    如果看不懂这个插件为什么比密码库存在 Windows 更安全的人,推荐你关掉帖子
    Supplement 4  ·  May 25, 2024
    如果你没有 iPhone ,请直接关掉这个帖子。因为大概率安全对你不重要
    37 replies  •  2024-05-28 16:21:42 +08:00
    X9reZZIL4Gk0y15g
    X9reZZIL4Gk0y15g
    May 22, 2024
    1
    感谢你的开发,感谢你为安全的贡献
    drymonfidelia
    drymonfidelia
    May 23, 2024❤️2
    2
    你也知道 “如果系统环境本身不安全,客户端的所有加密都是徒劳” “恶意软件依然可以在输入的时候窃取密码,依然可以在登陆后窃取 cookie”,那你做的这个软件解决了什么安全问题?
    penzi
    penzi
    OP
    May 23, 2024 via iPhone
    3
    回复#2, 可控的泄漏和不可控的泄漏是一样的吗

    目的就是在不安全的环境里登陆一些不重要的网站,我都写明白了,重要的账号肯定还是要在 iOS 里操作
    Biggoldfish
    Biggoldfish
    May 23, 2024 via Android
    4
    "Chrome 保存的密码并不安全,非常容易被恶意软件窃取"

    "在 Windows 上用 iCloud 相当于把所有重要数据全部暴露在恶意软件面前"

    "世界上最安全的 iOS 系统上用世界上最安全的 Safari 浏览器吧"

    甚至分不清是不是在反串
    blankmiss
    blankmiss
    May 23, 2024
    5
    Safari 能用 ?
    neptuno
    neptuno
    May 23, 2024❤️3
    6
    所有数据都会经过 https://password-from-phone-proxy.maggch.workers.dev ,万一哪天你服务器被黑了或者仓库被黑了或者插件把公钥上传了,我输入的密码不都被记录了。
    forty
    forty
    May 23, 2024❤️1
    7
    你没说具体原理,以及防哪种窃取,你是防那种监听键盘或剪贴板的吗?

    我个人习惯,是挺烦的那些有密码却还要强制扫码登录的系统,虽然不是每次都要扫,但也嫌麻烦。你这等于说每次登录网站都要扫码。

    推荐你使用密码辅助插件,比如 LastPass 之类。

    chrome 可比 Safari 安全太多了。
    RouJiANG14
    RouJiANG14
    May 23, 2024
    8
    保存在世界上最安全的系统 iOS 上🙂🙂
    penzi
    penzi
    OP
    May 23, 2024 via iPhone
    9
    @neptuno 。。。
    neptuno
    neptuno
    May 23, 2024❤️1
    10
    @maggch97 #9 所以总结:还不如原来的系统让人放心。
    penzi
    penzi
    OP
    May 23, 2024 via iPhone
    11
    @neptuno 就如你所说,我插件会上传公钥,

    对的,是的。太危险了,居然会泄漏公钥

    请 block 我
    Greenm
    Greenm
    May 23, 2024
    12
    将一个鸡蛋从一个木头篮子放在另外一个玻璃篮子是吧?

    我既不相信 iOS ,也不相信 windows 和 chrome ,更不相信你,那我为什么不用有审计开源的密码管理器呢?
    neptuno
    neptuno
    May 23, 2024
    13
    @maggch97 #11 写错了,我的意思是如果上传了我的私钥,那服务器都能解密了。另外我说的前提是你的服务器、插件代码被黑客窃取,并不是你本意。你也无法保证服务器不被黑
    mdgwmt0
    mdgwmt0
    May 23, 2024 via iPhone
    14
    感谢!
    idealhs
    idealhs
    May 23, 2024
    15
    Man!
    bzj
    bzj
    May 23, 2024
    16
    如果连 chrome 我都不信,那我要怎么相信你呢
    drymonfidelia
    drymonfidelia
    May 23, 2024 via iPhone
    17
    @maggch97 都不重要了,为什么我不直接输入密码?
    ray2023
    ray2023
    May 23, 2024
    18
    建议使用验证码登录 hh
    KgM4gLtF0shViDH3
    KgM4gLtF0shViDH3
    May 23, 2024
    19
    笑死,为啥不用 bitwarden ,1password🤣
    penzi
    penzi
    OP
    May 23, 2024 via iPhone
    20
    @bestkayle 笑死,Windows 上的那些所谓加密的密码管理器能在系统不安全的情况下能保持安全吗?这点常识都不知道别来评论了
    wzwzwwzw
    wzwzwwzw
    May 23, 2024
    21
    滥用"最"字不是好习惯啊,iOS 自己说这种话都沾点违反广告法
    WizardLeo
    WizardLeo
    May 23, 2024
    22
    不信任把密码保护当饭碗的公司,不信任无数人审计过代码的开源软件,反而信任一个把自己的密码上传到个人部署的第三方仓库中转的软件。
    ios 很安全?那想必 ios 一定没有任何取证软件吧,系统越狱也是从虚空中诞生,反正他就绝对不可能被外部攻破。
    yuhaofe
    yuhaofe
    May 23, 2024
    23
    Windows 相对其他系统风险的确更大,更容易碰到恶意软件木马等,我的 Edge 保存的 300 多个随机密码都泄露了,虽然说根本上应该是自己运行了不安全的软件或者扩展导致的。
    不过其实 passkey 或者硬件密钥更符合你这种需求,根本都不用密码了,设备支持的好的话可以在 windows 上通过蓝牙调用手机的 passkey ,就是网站支持的太少了。
    Wy4q3489O1z996QO
    Wy4q3489O1z996QO
    May 23, 2024
    24
    所以如果我是恶意插件在你花里花哨的任何方式的输入完再获取你输入到文本框的密码不行吗?
    P.S 如果你发帖且不接受别人的质疑,请关闭 v2ex😄
    Hawthorne
    Hawthorne
    May 23, 2024
    25
    你猜我为什么要让浏览器“记住密码”?
    penzi
    penzi
    OP
    May 23, 2024
    26
    @romotc 没看见我说什么吗,你的密码从 iOS 的密码管理器输入到 Safari 那一刻就是不安全的。你要是用这个软件输入银行密码,谁也救不了你。

    在一个不安全的系统上,做一个绝对安全的插件,软件,抱歉我没这个能力

    没有对应的 Security Practices ,iOS 也能被你降级越狱玩成漏洞百出的

    质疑前提是先提高一下自己的水平

    @yuhaofe 是的,passkey 是最优解,但是大部分小的,不重要的网站都没有这个功能。所以我只能做一个类似的解决这个问题。祝楼上质疑的人永远碰不到你遇到的恶意软件。
    penzi
    penzi
    OP
    May 23, 2024
    27
    @maggch97 类似指的是将密码保存在手机上,避免一次泄露所有密码。
    ajan
    ajan
    May 24, 2024
    28
    Chrome: 还有我不知道的? :doge
    sashit48bast
    sashit48bast
    May 24, 2024 via Android
    29
    @maggch97
    1. 密码安全不等于系统安全,“系统环境本身不安全,客户端的所有加密都是徒劳”这句话就相当无力,各种开闭源、本地或云的跨平台加密工具 LastPass 、Enpass 、Keepass 等对在密码保存及输入到浏览器的加密保护远胜常规密码管理器,在各种攻防演练中都有足量测试,不是你一句话就能否定的;仅对 Chrome ,Edge ,iCloud 这些而言,尚算认可
    2.“这个插件为什么比密码库存在 Windows 更安全”,在关掉帖子前我想反驳几下。1 中质疑的点不必重复,你的密码保护手段主要在存储方面,在输入时安全性、便捷性反而大加削弱,私人服务器暴露导致的各种黑入、渗透、攻击怎么防范,在扩展上加入混淆
    sashit48bast
    sashit48bast
    May 24, 2024
    30
    注入如何解决?“Windows 上的那些所谓加密的密码管理器能在系统不安全的情况下能保持安全吗?”专业加密工具本地保存会比 iCloud 或者 Safari 差?后者各种功能交互、权限越位带来的 day0 漏洞年年层出不穷,没比 Chrome 好哪去;更何况前者都有专业的浏览器扩展、密流传输、年年更迭的最新加密手段,这难道不比你的程序更能在系统不安全的情况下能保持安全吗?密码保存安全性比不过、输入安全性更是被完虐,不知道你说出这句话的勇气在哪?
    sashit48bast
    sashit48bast
    May 24, 2024
    31
    3.其他含”最“字的言论懒得打字了,交给 GPT4 ,https://chatgpt.com/share/e91144ba-6a02-4a15-bc46-eb51788f8e93
    charley008
    charley008
    May 24, 2024
    32
    @bestkayle 这样没有 b 格。要用 iphone 扫一下才显出高端
    penzi
    penzi
    OP
    May 25, 2024 via iPhone
    33
    @sashit48bast 我懒得骂你,lastpass cannot be safe if the system is not safe 。这是官方的回复,其次这是常识。

    我本来就没想解决密码输入后的安全,因为就是无解。

    还发个 gpt 答案,iOS 最近几个版本有在生命周期有被越狱吗,拿一堆 root 权限随便给的系统对标 iOS 真是笑死人了。

    写了一大堆废话真是幸苦你了
    penzi
    penzi
    OP
    May 25, 2024 via iPhone
    34
    @sashit48bast 问个问题,你有没有 iPhone 啊?没有 iPhone 请不要给我谈论安全。
    mirtle
    mirtle
    May 25, 2024 via iPhone
    35
    给你五个铜币
    alex177027
    alex177027
    May 27, 2024❤️1
    36
    所以你还是用的还是国行 iphone
    Chemist
    Chemist
    May 28, 2024
    37
    看了下代码,有点意思。
    主要就是浏览器端生成密钥对,拿公钥作为识别移动端和桌面端的 ID 。
    公钥通过二维码带到移动端。
    移动端将公钥和公钥加密后的密文发送给服务器
    服务器通过公钥找到对应的桌面端,将加密文本发送给桌面端有桌面端生成的私钥解密填充。

    也许楼主把帖子标题改成《一种跨设备信息加密传输的方案》会更好一点。
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   4142 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 138ms · UTC 09:19 · PVG 17:19 · LAX 01:19 · JFK 04:19
    ♥ Do have faith in what you're doing.