Google Chrome wygeneruje hasła łatwe do wymówienia
Firma Google chce zwiększyć świadomość użytkowników w dziedzinie używania bezpiecznych haseł do usług internetowych. W testowej wersji Canary przeglądarki Chrome pojawiły się nowe flagi ustawień odpowiadające za nowe działanie generatora haseł zintegrowanego z przeglądarką. Możliwe, że w przyszłości będzie on proponował hasła, które będą nie tylko bezpieczne, ale również łatwe do zapamiętania. Jak? Mają być po prostu możliwe do wymówienia przez użytkownika.
Funkcja generowania haseł pojawiła się w projekcie Chromium już ponad dwa lata temu. Do tej pory nie została ona domyślnie uruchomiona, choć użytkownicy mogą w każdym momencie aktywować flagę enable-password-generation i tym samym włączyć funkcję, która odpowiada za automatyczne podsuwanie propozycji haseł. Jeżeli Chrome wykryje wtedy np. formularz rejestracyjny, zaproponuje swoje hasło, a także wpisanie go do menadżera przeglądarki. Najnowsza wersja, która wymaga dodatkowo aktywacji nowej flagi enable-save-password-bubble jest wyposażona w odświeżony wygląd, dodatkowo funkcja ma w przyszłości podpowiadać hasła, które są nie tylko mocne, ale i możliwe do wymówienia. Dzięki temu użytkownik będzie mógł je zapamiętać, co powinno nauczyć go dobrych nawyków.
Pojawiają się tutaj trzy problemy. Po pierwsze, co nazywamy silnym hasłem? Chrome w swoim generatorze domyślnie oferuje hasła 12-znakowe złożone z dużych i małych liter, a także cyfr. Biorąc pod uwagę rosnącą moc obliczeniową komputerów, hasło takie może już nie zapewniać odpowiedniego poziomu bezpieczeństwa. Choć nie są to rozwiązania słownikowe (na razie, nie wiadomo, jak będzie wyglądała sytuacja gdy faktycznie zostanie wdrożone generowanie haseł możliwych do wymówienia), to jednak nie są też specjalnie skomplikowane. Problemem jest również sama kwestia wymowy hasła. Co to tak naprawdę oznacza? Przecież każdy język jest inny, dochodzą również odmiany lokalne i inne akcenty, które tylko sprawę komplikują. Możliwe, że funkcja początkowo zadebiutuje tylko w angielskiej wersji przeglądarki, ale nawet tutaj może natrafić na spore problemy, bo przecież angielski kogoś z Nowego Jorku potrafi być zupełnie inny od angielskiego typowego Walijczyka. Wszystko więc zależy od tego, czy producent skupi się na możliwości odczytania hasła.
Trzeci problem jest poważniejszy, bo podważa cały sens używania menadżera haseł w przeglądarce Chrome. Krótko mówiąc: nie jest to rozwiązanie specjalnie bezpieczne. Hasła nie są w żaden sposób chronione, może je podejrzeć każdy korzystający z przeglądarki użytkownik. Co prawda, jeżeli nasze konto systemowe posiada hasło, wymagana jest wcześniejsza autoryzacja, ale nie dotyczy to aplikacji, które pozwalają na odczytywanie haseł z przeglądarek, co widać nawet po konkurencyjnej Operze, która po cichu wykrada sobie hasła w ramach ich importowania. Wystarczy, że w taki sam sposób postąpi szkodliwe oprogramowanie przy infekcji komputera, a wrażliwe dane mogą trafić do cyberprzestępcy. Ten problem nie dotyczy tylko Chrome, bo równie źle wygląda np. w Internet Explorerze. Jedynie Firefox po aktywacji głównego hasła do menadżera innych odpowiednio je zabezpiecza poprzez stosowanie szyfrowania.
Co może zrobić ktoś, komu nie odpowiada przeglądarka Mozilli? Na myśl przychodzą oczywiście różne zewnętrzne menadżery haseł jak chociażby LastPass. Niestety te rozwiązania również nie są do końca pewne. Ostatni raport naukowców z Uniwersytetu Kalifornijskiego w Berkeley ujawnił szereg problemów i podatności, na jakie są one narażone. Na podstawie niego można śmiało powiedzieć, że nie zapewniają one bezpieczeństwa, o jakim jest mowa w materiałach promocyjnych tego typu produktów. Lepszym rozwiązaniem są rozwiązania lokalne jak choćby KeePass. Może i nie jest on tak wygodny w obsłudze, ale za to pozwala na bezpieczne przechowywanie haseł. Oferuje również konfigurowalny generator haseł, który już domyślnie tworzy ciągi bardzo trudne do przechwycenia metodą tak słownikową jak i siłową. Oczywiście rozwiązanie nie jest bez wad – tego typu haseł łatwo nie zapamiętamy.