Пароль від пошти до андроїда. Теги: поради та підказки

Привіт Хабре! Я молодий розробник, що спеціалізується на Android-розробці та інформаційної безпеки. Нещодавно я запитав: яким чином Google Chromeзберігає збережені паролі користувачів? Аналізуючи інформацію з мережі та файли самого хрому (особливо інформативною була стаття), я виявив певні подібності та відмінності у реалізації збереження паролів на різних платформах, і для демонстрації написав програми для вилучення паролів з Android версіїбраузер.

Як це працює?

Як ми можемо знати з різних публікацій у мережі на цю тему, Google Chrome на ПК зберігає паролі своїх користувачів у наступній директорії:

"C:\Users\SomeUser\AppData\Local\Google\Chrome\User Data\Default\" у файлі " Login Data".

Даний файл є базою даних SQLite, і його можна відкрити і подивитися. В таблиці loginsми можемо бачити наступні поля, які нас цікавлять: origin_url(адреса сайту), username_value(логін), password_value(Пароль). Пароль представлений байтовим масивом і зашифрований через машинний ключ, індивідуальний для кожної системи. Докладніше можна дізнатися зі статті. Таким чином, якийсь захист у Windows клієнта є.

Android

Але так як я більше захоплююся Android, то мою увагу забрав на себе, відповідно, Android-клієнт браузера.

«Розколював» пакет Google Chrome (com.android.chrome), я виявив, що його структура дуже нагадує структуру ПК-клієнта, і не склало труднощів знайти точно таку ж базу даних, що відповідає за зберігання паролів користувача. Повний шлях до БД наступний: "/data/data/com.android.chrome/app_chrome/Default/Login Data". Загалом ця база даних дуже схожа на свою «старшу сестру» з ПК-версії, маючи лише одну, але дуже значну відмінність – паролі тут зберігаються у відкритому вигляді. Виникає питання: чи можна програмно витягти паролі з бази? Відповідь виявилася вельми очевидною - так, якщо у вашої програми є root-права.

Реалізація

Для більшої наочності було вирішено створити власний інструмент для вилучення паролів з бази даних браузера.

Якщо описати його роботу двома словами, воно працює так:

• Отримує root.
• Копіює базу даних Chrome у свою директорію.
• За допомогою chmod отримує доступ до копії БД.
• Відкриває БД, і витягує інформацію про логіни та паролі.

Програма була розміщена в Google Play.

Висновок

Як висновок з виконаної роботи, можна сказати, що за наявності root-прав, витягнути базу паролів з браузера і відправити її на свій сервер - завдання цілком вирішуване, і цей факт повинен змушувати замислитися над тим, чи варто довіряти додатку права суперкористувача .

Сподіваюся, ця стаття була інформативною. Дякую за увагу!

Як вам напевно повинно бути відомо, однією з речей, яку веб-браузер Google вміє синхронізувати між усіма вашими пристроями - це дані (логін і пароль) для входу на різні сайти.

У той час, як у багатьох випадках ця опція може виявитися корисною та зручною, більшість з них не хотіли б довіряти компанії. Google паролідля входу до інтернет-банкінгу або торгових майданчиків, таких як eBay або Aliexpress. А що робити тим, хто випадково чи автоматично натиснув на «Зберегти пароль» під час входу на один із таких сайтів?

Не біда, будь-якої миті ви можете видалити збережені раніше в браузері Chromeдля Android свої облікові дані для того чи іншого сайту.

Для цього вам потрібно лише перейти в меню налаштувань браузера і клацнути по пункту «Зберігати паролі», після чого ви побачите наступне вікно зі списком сайтів, для яких ви зберегли пароль входу, а також кнопкою включення та вимкнення цієї опції для всіх сайтів, які б відвідуватимете надалі:

Натиснувши на конкретний сайт, ви відкриєте вікно наступного виду, на якому можна видалити ваші облікові дані:

До речі, подивитися або відредагувати паролі ви можете тільки в настільній версії браузера, Chrome для Android ця опція недоступна.

Крім того, як ви вже, напевно, помітили на скріншоті вище, у пункті меню «Зберігати паролі», ви також побачите і перелік сайтів, паролі для яких не зберігаються. Таким чином, якщо ви хотіли б включити цю опцію для одного з них, вам потрібно вибрати його зі списку і видалити у вікні.

Нагадаю, що зберігати паролі, що важко запам'ятовуються, для доступу до конфіденційних даних найкраще в спеціальному додатку типу Android. Keeper, а ще краще - користуватися для цього генератором паролів

Буквально вранці опублікував статтю про зберігання паролів у телефоні з Android системою, як у личку посипалися питання про те, чи можна використовувати ще якісь програми, хай і з простіше можливостями. У результаті зважився на написання більше детального огляду, в якому розкрию якнайширше можливості Android системиу збереженні паролів та логінів, але при цьому, щоб все відбувалося безпечно та із захистом від зломів та вірусних атак. Але спочатку пару слів скажу про Android.

Анотація. З чого все почалося?

Історія питання почалася ще на самому початку довгого та насиченого життя Android, коли спочатку воно було лише віртуальною платформою для розробників і тільки з появою смартфона T-Mobile G1 ака HTC Dream з'явилося в реальному світі. Постійно зазнаючи безліч змін, Android отримував якісніший код і більші можливості в роботі. Але водночас не тільки якість системи обіцяє надійність, а й встановлені та використовувані додатки. І якщо Ви встигли помітити, то сама система популяризувалась не лише серед простих обивателів, а й серед виробників мобільних пристроїв, які дуже швидко виросли до смартфонів бізнес-класу.

Що означає апарат бізнес-класу? Це насамперед можливість використовувати мобільний інтернетз максимальною зручністю та швидкістю, робота з інтернет-сервісами (при цьому не тільки Google-сервісами, які пропонуються за умовчанням). Ось логічно ми й прийшли до того, що все це призводить до вимушеного зберігання безлічі конфіденційних даних: логінів, паролів, пін-кодів, номерів банківських карток. Спочатку я навіть не замислювався про використання спеціальних додатків, а зберігав паролі тощо окремому файлі записник AK Notepad. Звичайно, це було неправильно і було найбільш кривим способом, створюючи відмінну вразливість для моєї особистої інформації. Щоб Ви не робили того, що я робив раніше, я пропоную скористатися наступними порадами, де я докладно розглянув кілька чудових додатків, які зберігають паролі/логіни та заодно шифрують інформацію, яка не повинна стати надбанням сторонніх осіб.

Ось тепер настав час перейти безпосередньо до огляду тих додатків, що я б сам особисто використав на своєму Android-смартфоні. Список програм наступний:

1. B-Folders Secure Organizer;
2. Handy Safe Pro;
3. KeePassDroid;
4. OI Safe;
5. Password Master.

Як очевидно, я подав додатки з алфавітного пріоритету, а не з особистих претензій до функціональності.

1. B-Folders Secure Organizer.

Розробник: JointLogic Ltd.

Версія програми: 3.0.6.

Вимоги: Android 1.6+

Очевидно, що вже є стандарт для створення додатків для зберігання конфіденційної інформації. Саме B-Folders Secure Organizer стає стандартним представником цього класу додатків, тому відразу після першого запуску з'являється на екрані майже знайоме вікно зі створенням окремої бази даних для паролів:

До речі, не забудьте вказати зручне місце для збереження бази даних, що створюється. Можна вибрати як внутрішню пам'ять, і SDCard. З особистого досвідуможу порадити зберігати її на зовнішню карту, на випадок, якщо доведеться скидати систему на заводські налаштування з втратою всього, що є у внутрішній пам'яті.

У цьому вікні можна вказати час для таймууту, після якого база даних автоматично закриється, вказати пароль до неї, який потрібен для доступу до даних.

Для мене головним мінусом став основний екран програми, який стає доступним після перезапуску. Можливо, це сталося через те, що у мене прошивка не була допрацьована на смартфоні.

Якщо Вам цікаві основні можливості програми, то вони з'являються текстом у вікні B-Folders Secure Organizer:

Ось, наприклад, виявилося, що ця програма може створювати базу даних безпосередньо на карті пам'яті, а потім синхронізувати її з ПК за допомогою USB шнурка, хоча раніше можна було лише працювати «по повітрю». При частому використанні B-Folders Secure Organizer стає дуже нав'язливим подібне віконце, інформацію якого можна було б легко додавати до розділу довідки і де кожен за бажання ознайомитися з нею. А то виходить, що користувача мало не насильно змушують читати зайву інформацію.

Тепер безпосередньо про створення БД. Створити новий елемент досить просто – натисніть на кнопку New Item і програма надасть ось такий вибір:

До речі, B-Folders Secure Organizer дозволяє створити поделементи усередині самих елементів та зберігати в них цілі вкладені папки. Тобто, користувач отримує найбільшу свободу в дії з елементами бази даних.

Помітив цікаву особливість у роботі з додатком – після того, як B-Folders Secure Organizer чомусь закриває базу даних з паролями після переходу по кнопці «Назад» або «Home», то доводиться постійно вводити майстер-пароль від цієї бази. Тобто при переході від додатку до мобільному браузеруі тому доведеться постійно вводити цей пароль. Звичайно, це дуже незручно.

Особливо сильна сторона програми – функція синхронізація бази даних із комп'ютером, але лякає інше – програма чомусь вимагає при встановленні постійного доступу до Інтернету, що підозріло для програми, яка зберігає конфіденційні дані. Але загалом додаток цілком робочий і залишається розробникам порадити докласти ще трохи зусиль та попрацювати над стабільністю B-Folders Secure Organizer.

2. HandySafePro.

Розробник: Paragon Software.

Версія програми: 1.07.

Вимоги: Android 2.1+

Відразу попереджаю любителів халяви – у тестовому режимі програма може пропрацювати лише 14 днів, а після цього її доведеться або видалити, або купити.

Відразу після вікна привітання програма запропонує за традицією створити базу даних, де зберігатимуться Ваші паролі тощо.

Після цього Handy Safe Pro покаже вікно з майже файловим менеджеромі симпатичними іконками папок, але це нас має цікавити. Потрібно знову створити папку «Соцмережі», куди ми будемо зберігати важливі дані та паролі. До речі, при додаванні нового елемента в Handy Safe Pro досить бідний вибір елементів - лише Картка, Папка і Шаблон. Але хоча б список інтернет-сервісів, що вже підключаються, широкий і є все, що може знадобитися російському користувачеві. На кожному елементі зберігається додаткова інформаціядовільне кількість полів, тобто. можна вписати скільки завгодно даних про елемент, що зберігається. Єдине, що насторожило – пароль зберігається в текстовому полі. Але вже в режимі перегляду все виглядає чудово і відкрити дані можна за кнопкою Show Password. Дані, що переглядаються, можна одним кліком зберегти в буферну пам'ять.

Тут також можна зробити вручну синхронізацію збережених даних із комп'ютером, але вони вже будуть передаватися не через інтернет, а безпосередньо.