Passwörter als Klartext im Speicher - Google sagt: wontfix

  • Etwas kurz, die Überschrift, aber das ist das knappe Ergebnis seitens Google zu:

    Extracting Clear-Text Credentials Directly From Chromium’s Memory
    This research was initiated accidentally. After “mini-dumping” all active Chrome.exe processes for another research project, I decided to see if a password…
    www.cyberark.com

    Zitat


    “there is no way for Chrome (or any application) to defend against a malicious user who has managed to log into your device as you


    Es gibt keine Möglichkeit für Chrome (oder eine Anwendung), sich gegen einen böswilligen Benutzer zu verteidigen, der es geschafft hat, sich bei Ihrem Gerät wie Sie anzumelden

    Weshalb dieser Beitrag? Klar, wenn es bei Chrome klappt, dann auch bei Vivaldi, Opera und anderen. deskmodder war noch so frei, Firefox ins Boot zu nehmen:

    Browser speichern Passwörter im Speicher in Klartext (unverschlüsselt)
    Man fragt sich, warum man Passwörter und andere sensible Daten im Browser (egal welcher) verschlüsselt speichert, wenn diese eh entschlüsselt (Klartext) im RAM…
    www.deskmodder.de

    Zitat

    und auch Firefox ausprobiert und alle haben mir die verwendeten Passwörter angezeigt

    Es hat mir schon bei deskmodder ein Schmunzeln ins Gesicht gedrückt, weil dafür ja explizit Adminrechte erforderlich sind, ist auch im Bild zu sehen. An diesem Punkt könnte man eigentlich aufhören, darüber zu reden und Produkte wie OSArmor, VoodooShield und ähnliche empfehlen. Und uneigentlich ist die Unsitte, mit Adminrechten zu arbeiten, leider traurige Realität, die solche Produkte überhaupt erst auf den Plan bringen.


    Die Essenz, die Google niederschreibt, ist leider auch eine traurige. Weil solche Produkte zwar einen Übergriff verhindern können, aber nicht die Ursache des vorherigen Scheiterns. Da kommen dann auch Fragen wie diese auf: Wie kann ich nicht digital signierte Programme per Firewall blockieren?

    Und nach 10 weiteren Antworten wird dann klar, dass versucht wird, unsignierte Malware davon abzuhalten, Daten zu senden. Wenn man dann beiläufig erwähnt, dass 60% aller Trojaner und 85% aller Dropper digital signiert sind, kann man förmlich sehen, die lang die Gesichter am anderen Ende werden.

    Understanding Code Signing Abuse in Malware Campaigns
    Using a machine learning system, we analyzed 3 million software downloads, and provide insights in this three-part blog series. In this part of this series, we…
    www.trendmicro.com


    Ist wie beim Fussball, das Tor ist gefallen, wenn der Ball über die Linie ist.

    Hier sollte etwas stehen, aber ich befürchte, du könntest es nicht ertragen. Daher ist dein Einfallsreichtum gefragt, überrasche mich.

  • Alle Jahre wieder holt jemand das uralte Thema wieder hoch.

    Für mich war das neu (bzgl Browser), aber nicht überraschend. Da ich auch Winhex nutze, kenne ich diese Art "Suche", Winhex ist da sehr komfortabel. Hast du da grad die alten Themen parat? Ansonsten spar dir die Arbeit ;)

    Hier sollte etwas stehen, aber ich befürchte, du könntest es nicht ertragen. Daher ist dein Einfallsreichtum gefragt, überrasche mich.

  • .DeJaVu

    Hat den Titel des Themas von „wontfix“ zu „Passwörter als Klartext im Speicher - Google sagt: wontfix“ geändert.