Za każdym razem, gdy podaję login do nowej witryny, Chrome pyta mnie, czy powinien przechowywać dane logowania. Kiedyś uważałem, że to dość bezpieczne. Gdyby ktoś stwierdził, że mój komputer jest odblokowany, mógłby ominąć ekran logowania do jakiejś witryny internetowej przy użyciu zapisanych danych, ale gdyby ponownie poprosił o hasło, tak jak przy kasie, lub gdyby chciał zalogować się do usługi z innego urządzenia, nie byłoby go szczęścia.
Przynajmniej tak myślałem, kiedy sądziłem, że przeglądarka nie przechowuje samego hasła, ale skrót lub szyfrowanie hasła. Zauważyłem, że przeglądarka wypełnia pola nazwy użytkownika i hasła, a pole hasła wskazuje liczbę znaków w haśle.
Należę do osób, które poproszone o zmianę hasła po prostu zachowują to samo hasło, ale na końcu zmieniają numer. Wiem, że to źle, ale przy tym, jak często jestem proszony o zmianę haseł, naprawdę nie mogłem sobie przypomnieć liczby haseł, których się ode mnie oczekuje. Powoduje to wiele haseł, które są takie same, ale czasami zapominam, jaki numer końcowy musi być dla danego logowania.
Nie pamiętałem numeru końcowego dla określonego loginu, więc wszedłem na stronę internetową, na której było przechowywane hasło. Usunąłem kilka ostatnich znaków i wypróbowałem różne cyfry i altówkę, wiedziałem, jaki jest właściwy numer końcowy.
Wydaje mi się, że jest to fundamentalna luka w zabezpieczeniach. Jeśli uda mi się sprawdzić ostatni znak mojego hasła bez sprawdzania innych, wówczas liczba prób złamania hasła rośnie liniowo wraz z liczbą znaków, a nie wykładniczo. Stamtąd wydaje się, że wystarczy krótki krok, by powiedzieć, że gdyby ktoś przyszedł do mojego komputera, gdy był on odblokowany, prosty skrypt mógłby wyodrębnić wszystkie zapisane hasła do wszystkich głównych witryn internetowych, do których przechowuję hasła.
Czy tak nie jest? Czy jest jakaś inna warstwa zabezpieczeń, która by temu zapobiegła?