Bevor ich in einem Browser wichtige Daten wie Passwörter speichere, sichere ich ihn per Kennwort.
Alles richtig! Bloss mein Einwand war, selbst wenn der User erst Daten (Login Passwörter) speichert nachdem er ein MasterPW gesetzt hat, kommt man nachträglich an die Daten wenn man vorher (als noch kein MasterPW gesetzt war) die key4.db kopieren konnte.
Sofern ein Windows Rechner im Büro läuft und entsperrt ist, verlässt man sich auf das MasterPW vom FF wenn man mal 5 Min weg ist. Aber wenn man da ans Profil rankommt und es kopieren kann, ist das eine trügerische Sicherheit.
Ich glaube, du hast meinen Text oben gar nicht richtig gelesen.
Naja, ich stelle mir folgendes Szenario vor. Ein Rechner ist frisch eingerichtet und steht im Büro ungesichert rum oder ein Mitarbeiter lässt den anderen mal kurz an den Rechner. Der Böse kopiert sich da mal schnell das Profil. (bzw die zwei Dateien)
Erst Tage/Wochen später wird den Mitarbeitern nahegelegt mal ein MasterPW zu setzen. Ab dem Moment fühlt man sich sicher. "Keiner kann das Profil lesen und wenn man es kopiert kann man nix mit den Daten anfangen"
Doch der Böse kann die PWörter (bzw. die json- Datei wenn er sie nochmal kopieren kann) sehr wohl bei sich entschlüsseln, sofern er die alte key4.db auf seinem Rechner hat.
Büroalltag!
Hallo,
ich habe heute ein paar Tests mit dem Kopieren meines FF Profils auf einen neuen Rechner gemacht und dabei ist mir ein mögliches Sicherheitsproblem aufgefallen.
Ich habe meine key4.db und logins.json (ohne MasterPW Schutz) auf den neuen PC kopiert. Und kann natürlich dann alle Passwörter benutzen und lesen im FF Passwordmanager.
Dann habe ich auf dem alten Quell-PC den MasterPW Schutz aktiviert. Zugriff ist also nur noch mit Master PW möglich. Und dann habe ich die Logins.json (mit neu gesetzten Passwörtern) wieder auf den Zielrechner kopiert und siehe da ich konnte auch die neuen Passwörter im FF lesen OHNE das MasterPW angeben zu müssen und OHNE dass ich die neue key4.db mitkopiert hätte.
Die alte key4.db (die noch ohne MasterPW) kopiert wurde, reicht aus, um auch die neuen Passwörter der logins.json zu entschlüsseln!
Erst wenn man die neue key4.db (die nach dem Erstellen es MasterPWs auf dem Quellrechner erstellt wurde) mit auf den Zielrechner überträgt, muss man auch auf dem Zielrechner das MasterPW angeben.
D.h. Sollte jemand eine alte key4.db von einem Profil geklaut haben als der User noch keine MasterPW gesetzt hatte, kann der Bösewicht auch im Nachhinein damit alle neu danach angelegten Passwörter sehen sofern er an die logins.json kommt. (die neue key4.db braucht er ja gar nicht) Eine Passwortabfrage ist immer noch nicht nötig. Ich halte das für bedenklich.
Abhilfe kann ja dann nur sein, sobald man sich entschließt ein MasterPW zu setzen, ein ganz neues Profil anzulegen, weil man sich ja nicht sicher sein kann, wer alles ne alte key4.db inzwischen von meinem Profil gezogen hat.
