「Googleは甘い」　Chromeに保存したパスワードが丸見えに

　米GoogleのWebブラウザ「Chrome」に保存されたパスワードは、設定ページを通じて
誰でも簡単に平文で見ることができてしまう――。ソフトウェア開発者が自身のブログで
そんな実態を報告し、Googleのパスワードセキュリティ対策の甘さを指摘している。

　ソフトウェア開発者のエリオット・ケンバー氏は8月6日、「Chromeのあり得ないパスワード
セキュリティ戦略」というタイトルのブログでこの実態を紹介した。

　同氏はWebブラウザをAppleのSafariからChromeに切り替えて使っている過程で、
Chromeの設定ページから保存したパスワードの一覧を表示すると、この画面にパスワードの
「表示」ボタンが現れることを発見した。このボタンをクリックすると、パスワードが平文で表示される。

　これについてケンバー氏は、「Googleを使っている大多数の一般ユーザーはこのような仕組みが
あるとは知らず、これほど簡単に自分のパスワードを見られることは期待していない」と指摘。
「ユーザーのパスワードを平文で表示して、（この情報にアクセスするためのマスター）パスワードさえ
要求しないのがGoogleのセキュリティだ」と批判している。

　セキュリティ専門家のグレアム・クルーリー氏もこの問題を確認し、例えば職場でユーザーが
席を外している間に他人が操作するなど、コンピュータに物理的にアクセスできれば誰でも
Chromeに保存されたパスワードをのぞき見ることができてしまうと指摘した。「Chromeブラウザは
ユーザーにパスワード保存を促しておきながら、その情報を強力なマスターパスワードで守る
オプションを提供していない」とも述べている。

　一方、Google Chromeのセキュリティ担当者は、ネット上のフォーラムでこの問題を報告した
ケンバー氏に対し、「私たちはこの診断に何年も費やしてきた。あなたは私たちがユーザーの
安全性を低めていると言いたいのかもしれないが、Chromeのセキュリティに対するわれわれの
アプローチはそのようなものではない」と反論している。

http://www.itmedia.co.jp/enterprise/articles/1308/08/news033.html

そもそもスパイウェアだろ

ザルどころじゃなかった

Windowsでユーザーごとにアカウントを分けてないとひどいことになるって話？
でもそんなの、Chromeに限らんよね

>>1
「私たちはこの診断に何年も費やしてきた。あなたは私たちがユーザーの
> 安全性を低めていると言いたいのかもしれないが、Chromeのセキュリティに対するわれわれの
> アプローチはそのようなものではない」と反論している。

どのようなものなのですか？

見れなかったらパスワードどうやって確認するんだ

J-WORDいれとけばいいんだろ？

そもそも職場とか誰かが操作しようと思えばできるようなパソコンのブラウザに
面倒だからとパスワードの保存をすること自体が間違い

マクロ使えよ

ニュースサイトとかどうでも良いサイトでもいちいちログインさせられるから使ってる
ネットバンクとかは覚えさせてない

デスクトップのpass.txtに全部保存してあるけど

ユーザーのデータにアクセスされた時点でだいたい終わりだけどな。
気休め程度にでもパスワードで暗号化しておいた方が良いけど。

「公道から見えるものは全てGoogleに撮影され公開されることに同意したものと見なす！（キリッ」

御大が何も言ってなければオーケー

ちょろめでマルウェアが仕込まれてない方が不思議

PCの大先生な俺たちにとっては常識だろ

firefoxだけどパスワードをノートに書いてるから
ノートにアクセスされたら終わりだわ

世界一公なスパイウェアがGoogleなんだからそりゃ

firefoxも見えると思うんだが

Googleはいつでもパスワード見放題だから麻痺してんじゃね

Firefoxは一応マスターパスワードが設定できる

パスワード入力のロスって天文学的な損失だよな

>Googleを使っている大多数の一般ユーザーはこのような仕組みが
>あるとは知らず

いや知ってるけどｗ

え？昔からこういう仕様だろ？

自分のパソコンを他人に使われる状況がすでにセキュリティに問題があるわけだから

何を言ってるんだ？って感じｗ

え、firefoxでも普通に見れるよ。自分で見たいのに見れなかったら意味ねーじゃん

わざとやろな

Opera最強伝説

>>23
＞大多数の一般ユーザー

こんな時間から2ch見てるお前が一般ユーザーとは思えませんな

PC起動パス掛けない奴なんているのか？

>>25
普通はPCに侵入されてもWebサービスの垢までハックされたりはしないだろ。
今回はそれが容易に可能だから指摘されてる。

FIrefoxだけどマスターパスワードはめんどいから使ってない

マスターパスワードなしワロタ
わざと

あれ、でもクリップボードって

あとは席外すときにスクリーンセーバー・パスワードロックするぐらいか
でも面倒いな

LastPass入れとけよ面倒臭いだろ色々

この機能を知った時からこれは思ってた

火狐でマスターパスワード一応使ってる。
っていうかIEは広告がひどいな。
使い物にならないレベル。
クロームは知らん。

>>31
PCハック→パスワードリセット→メール受信で終わり
パスワードで保護しておくに越したことはないけど、面倒になるか簡単かの違い。

デフォルトでパスワード保存設定だったっけ？
たしか違ったと思うから自己責任だろ

>>39
君アホってよく言われるでしょ？

そもそもどうでもいいサイトにアカウントとかパスとかあふれすぎなんだよ
そのくせ確認するのにいちいち障壁ももうけるから管理の手間がひどい

チョwwwwwwロwwwwwwwwwwメwwwwwwwwwwwwwww

マスターパスワード以前にパソコンくらい他人に触られないようにしとけ

>>31
されるだろｗｗ

>>45
最初の侵入まではパス保存されてるから出来ても、
パス変更や決済など、別途のパス入力が必要になる箇所があるから
完全に垢の機能を掌握することは出来ねーよ。

┌ Adblock Edge 広告抹消アドオン（Adblockには様々なブラウザ用も存在。Adblock+(Plus)は金で広告を通すので×
├ https://addons.mozilla.org/ja/firefox/addon/adblock-edge/
└┬ Element Hiding Helper （Adblockの追加機能。要素非表示でテキスト広告も抹消
　 └ https://addons.mozilla.org/ja/firefox/addon/elemhidehelper/
┌ Ghostery （トラッキング防止 Googleのアドセンスやアクセス解析カット）[Firefox,chrome,opera,IE
└ http://www.ghostery.com/
┌ RequestPolicy （閲覧サイトから呼び出す外部サイトの遮断・許可、転送警告
└ https://addons.mozilla.org/ja/firefox/addon/requestpolicy/
┌ NoScript （JavaScriptやJavaアプレットの実行、プラグイン起動を制御
└ https://addons.mozilla.org/ja/firefox/addon/noscript/
┌ A Killer Mod （アフィリエイトリンク書換） [Firefox,chrome,opera
├ http://web.archive.org/web/20130227041129/http://www7b.biglobe.ne.jp/~yamj/archives/a_killer_mod/
└┬ Scriptish （Firefoxはこれを先に入れる
　 └ https://addons.mozilla.org/ja/firefox/addon/scriptish/
┌ Internet Explorer 9用 Tracking Protection Lists （IEでアクセス・リスト追加
└ http://ie.microsoft.com/testdrive/browser/p3p/
┌ Iron（ chromeと同じベースの完全互換ブラウザ。GoogleUpdate等カット
└ http://www.srware.net/software_srware_iron_download.php
┌ Microsoft Office IME 2010（無料で使用可能
└ http://www.microsoft.com/ja-jp/office/2010/ime/default.aspx
　　　　　　　　　　　　　　 ／
　　　　　　　　　　　　　 <　　　ﾋﾞﾋﾞﾋﾞ 　|￣￣￣￣￣￣￣￣￣￣￣￣|
　　　　　　　　　　　　　／　　　　　　　 |.ぁゃιぃ接続を感知しました.|
　　　　　　　 ＼_＼_＼ 　 　 　 　 　 　 |＿＿＿＿＿＿＿＿＿＿＿＿|
　　 ＿　　　　　＼ ＼ ＼　 >>1
　 /||__|∧　　 ＿＿|＿＿＿
　（Ｏ´∀｀）　 |　|::::::::::::::::::::::|　　Adblock Plusが控えめな広告として通しているフィルタリスト
　（つ　　 つ／　|::::::::::::::::::::::|　　ttps://easylist-downloads.adblockplus.org/exceptionrules.txt
　／￣￣￣≡....|;;;;;;;;;;;;;;;;;;;;;:|

パスワード保存なんて池沼がやることだろ

Safariは保存するかどうか選択しないとページ読み込まないからクソ

＞ 例えば職場でユーザーが 席を外している間に他人が操作するなど、
＞ コンピュータに物理的にアクセスできれば誰でも
＞ Chromeに保存されたパスワードをのぞき見ることができてしまうと指摘した。

コンピュータのセキュリティホールよりヒューマンエラーによる
情報流出の方が遥かに多いんだよな

パスワードの書いた紙ををディスプレイに張り付けてるオッサン大杉

登録しなければいい

Firefoxもそうだよね
パスワード忘れたとき便利

パスワードなら俺の隣で寝てるよ

＞　一方、Google Chromeのセキュリティ担当者は、ネット上のフォーラムでこの問題を報告した
＞ケンバー氏に対し、「私たちはこの診断に何年も費やしてきた。あなたは私たちがユーザーの
＞安全性を低めていると言いたいのかもしれないが、Chromeのセキュリティに対するわれわれの
＞アプローチはそのようなものではない」と反論している。

どのようなものだと？
確かにChromeは便利だけど使っててイライラする事もあるしOperaに戻りたいわ

パスワード多すぎて管理めんどくさ

Firefoxだってマスターパスワード使ってる人のほうが少ないんじゃないの
まあオプションがあるだけマシだけどさ

keepass最強ってことか

よく考えたら研究室で離席する時は画面ロックするから問題無かった

lastpassだって常時ログオンなら平文で見れるんだが

firefoxもパスワードを表示って押したら見えるだろ

慌てて全部消した
保存するの止める

Androidも糞OSだし、Google社員の質落ちてるよなぁ

今opera使ってるけど15以降糞化して伝説終了したし
ﾁｮﾛﾒはスパイウェアだしIEは拡張しずらいし
firefox使っておけばいいのかそれとも他に大穴があるのか

>>55
http://news.cnet.com/8301-1009_3-57597364-83/chrome-password-security-issue-stirs-debate/


I'm the Chrome browser security tech lead, so it might help if I explain our reasoning here.
The only strong permission boundary for your password storage is the OS user account.
So, Chrome uses whatever encrypted storage the system provides to keep your passwords safe for a locked account.
Beyond that, however, we've found that boundaries within the OS user account just aren't reliable, and are mostly just theater.

Consider the case of someone malicious getting access to your account.
Said bad guy can dump all your session cookies, grab your history, install malicious extension to intercept all your browsing activity, or install OS user account level monitoring software.
My point is that once the bad guy got access to your account the game was lost, because there are just too many vectors for him to get what he wants.

We've also been repeatedly asked why we don't just support a master password or something similar, even if we don't believe it works.
We've debated it over and over again, but the conclusion we always come to is that we don't want to provide users with a false sense of security, and encourage risky behavior.
We want to be very clear that when you grant someone access to your OS user account, that they can get at everything. Because in effect, that's really what they get.

正直こんなのでバレるよりパスワード忘れるリスクのほうが高いわ

IDとPW覚えてても突然生年月日とか言われて、適当に入れたから全く思い出せなくってアカウント放棄とかも有ったし
厳密な運用とかそこらじゅうで登録してんだからやってられんわ

>>65
実際その通りだと思うけど、気休めにマスターパスワードの
機能を付けておけばいいのに。

>>11
外部メディアにも保存超オヌヌメ
データ飛んで一番つらかったのがパスワード

Evernoteに書いときゃいいな

で、どうやれば見れるの？

chrome://settings/passwords
で見れる

>>65
OSのパスなんか信頼出来る環境に置いてるPCには設定しないだろ
そのPCをスペックの時代遅れなどの理由でそのまんまゴミ捨て場に廃棄しちゃった時に様々な問題が生じるんだよ

何をいまさら
ノーガードどころか
頭突きで相手の拳破壊するくらい豪気な人しか使っちゃいないだろ

LastPassおすすめ

Pass保存はほんと便利で助かる

>>66
この前のYahoo!がそうだったわ　　勝手にパスワードリセットされて覚えてもない誕生日入力要求された
結局メール問い合わせで対応してくれたからよかったけど

パス記憶ソフトならlastpassが最強なの？

そのようなものではないとか言っても現実に見えてるんだから言い訳すらできないだろ

Firefoxもマスターパスワード設定しないと平文で見れるし、IEだってファイルに平文で保存されてた気がする
どっちみちパスワードの保存は危険

ただChromeは他所の端末でログアウト忘れたら悲惨
ログインしなければいいんだけど、それじゃChoromeの意味ない

>>76
生年月日偽るおまえが悪い

ブラウザのパスワード保存は信用してない

馬鹿は自分があたかも凄い発見をしたと勘違いする
平文で保存してる情報は平文で保存されているとユーザーにも判ったほうがいいだろ

昔からIDM

けんもめんにGoogle使ってるやつなんていない

>>2が正解
何度言ってもバカはちょろめ崇拝止めないけどな
そもそもグーグルが世界中の個人情報と地理情報を集めてアメリカ様による支配を強化する為にある犯罪会社です

この機能に何度も助けられてるわ

頭のノートにメモっとけ

>>79
> Firefoxもマスターパスワード設定しないと平文で見れるし、
> IEだってファイルに平文で保存されてた気がする
> どっちみちパスワードの保存は危険
だよな
なぜかChromeだけが悪質みたいに捉えてるやつが多くて笑える

オープンソースとかやってる外人の中にはすべての情報は包み隠さず公開して
一切のセキュリティなど要らないみたいな事考えてるガチな奴とか大勢居るしな
Googleは結構そういうの潜んでそう
実際ストビュー撮影車でウォードライビングとか平気でやってたし

FireFoxもパスワード見れるじゃん

小林カツ代エクスプローラが最強

そもそもChrome使ってる奴にセキュリティ意識なんて無いだろｗ

軽い、簡素だけがウリだったのに
案の定ドンドン重くなっていってるし

Google自体優秀だったの10年前くらいまでで
今のGoogleは本当にもう別物だからなぁ…

Chromeブラウザの「パスワード丸見え」問題にGoogleが釈明
http://www.itmedia.co.jp/news/articles/1308/09/news038.html

　シュー氏によれば、マスターパスワードの導入についてはGoogleでも繰り返し論議してきた。
しかし行き着くのは常に、「ユーザーに誤った安心感を与えて危険な行動を助長したくない」と
いう結論だったといい、同氏は「他人があなたのOSユーザーアカウントにアクセスすれば、何も
かも入手できてしまう」と繰り返した。

　これに対して読者からは、「自分たちが負うべき責任を他人に押し付けている」「もし自宅の玄
関の鍵をかけ忘れたからといって、盗まれたくない貴重品を隠すことも許されない理由はない」
など、賛否両論の意見が多数寄せられている。

　なお、Firefoxなどのブラウザでは、コンピュータを他人と共有する場合を想定し、ブラウザに
保存されたパスワードにアクセスするためのマスターパスワードを設定できる機能を提供して
いる。

Google最悪

特に問題があるようには思えないけど…
保存するわけないからな!!

ログインを要求される場面が多すぎてめんどくせえじゃん
そりゃ誰だって保存するっての

>>1
Google製品はすべて危険。とくにChromeは最初から指摘されてたよな。

＞SafariからChromeに切り替えて使っている過程

切り替えるんだからパスワード見れないとわからんだろ
なにいってるんだこいつ

いまだにGoogleやらchrome使ってるやついたのか

これ平文で返すsafariは悪くないの？

まるでsafariが超安心みたいな書き方だけどどうなの？

IEやFirefoxはパスワード見るためにパスワードを設定できるけど、Chromeはできない
どこまでセキュリティにこだわるか次第だが、できないよりできた方がいい

チョロメにパス保存してないから大丈夫だと信じたい(´・ω・｀)

>>104
すでに手遅れだと思う

脆弱性のGoogle

Googleってインスタント機能を強制したり勝手にちょろめ関連のツールインスコしたりしてきて気持ち悪い

OSのロック機能や暗号化機能で代替できるので問題ないとか？

あｓｄｆ