Chrome的记住密码是如何实现的？ - 未名空间MITBBS历史存档

国际科技财经博客移民网络热点娱乐民生时事公众号

Redian新闻

>未名空间

>JobHunting - 待字闺中

Chrome的记住密码是如何实现的？

Chrome的记住密码是如何实现的？# JobHunting - 待字闺中

j*a2017-03-06 08:03

1 楼

比如你sign in了chrome，你在一台机器上让chrome在某个网站记住密码。
然后你在另外一台机器上sign in chrome然后上这个网站，chrome也会自动记住密码。
除了google的server上存了你用户名和密码，还有其他更安全的实现吗。

t*n2017-03-06 08:03

2 楼

不通过server难道还有别的办法？

j*a2017-03-06 08:03

3 楼

那多不安全啊。
就连网站本身也只能存放hash。这个chrome把密码都存了。

【在 t*****n 的大作中提到】

: 不通过server难道还有别的办法？

c*f2017-03-06 08:03

4 楼

google有个sync api, Chrome Sync API
www dot chromium dot org/developers/design-documents/sync/syncable-service-
api
应该是这个吧

t*n2017-03-06 08:03

5 楼

你要log in到你账户才能用saved password吧？

【在 j***a 的大作中提到】

: 那多不安全啊。
: 就连网站本身也只能存放hash。这个chrome把密码都存了。

u*n2017-03-06 08:03

6 楼

密码都被google知道了，这世界没啥隐私了

c*s2017-03-06 08:03

7 楼

应该存的是auth token吧，不会是密码的

【在 j***a 的大作中提到】

: 比如你sign in了chrome，你在一台机器上让chrome在某个网站记住密码。
: 然后你在另外一台机器上sign in chrome然后上这个网站，chrome也会自动记住密码。
: 除了google的server上存了你用户名和密码，还有其他更安全的实现吗。

t*n2017-03-06 08:03

8 楼

server上应该存了。因为你一台机器上用的它记住了你到另外一台机器上能用。

【在 c********s 的大作中提到】

: 应该存的是auth token吧，不会是密码的

l*02017-03-06 08:03

9 楼

在云上加密后存储，暂时信任谷歌的安全保障。

【在 j***a 的大作中提到】

g*i2017-03-06 08:03

10 楼

google没有存明文吧，是用你的sync auth code加密过的

a*o2017-03-06 08:03

11 楼

方便和安全性之间，必须有个妥协吧。

【在 j***a 的大作中提到】

: 那多不安全啊。
: 就连网站本身也只能存放hash。这个chrome把密码都存了。

I*m2017-03-06 08:03

12 楼

什么是sync auth code？

【在 g***i 的大作中提到】

: google没有存明文吧，是用你的sync auth code加密过的

g*i2017-03-06 08:03

13 楼

你每次从chrome里第一次sync时候，都要让你输入一个密码。这个密码不同于google账
户的密码

【在 I*****m 的大作中提到】

: 什么是sync auth code？

j*22017-03-06 08:03

14 楼

你们说的两码事。
google就是保存明文的

【在 g***i 的大作中提到】

: 你每次从chrome里第一次sync时候，都要让你输入一个密码。这个密码不同于google账
: 户的密码

C*r2017-03-06 08:03

15 楼

应该是明文吧，不同电脑间sync去密码管理里都能看到明文的密码。只能寄希望于谷歌
的操守和水平了。

m*s2017-03-06 08:03

16 楼

谷歌的操守没得说，一直和联邦政府紧密合作。

【在 C******r 的大作中提到】

: 应该是明文吧，不同电脑间sync去密码管理里都能看到明文的密码。只能寄希望于谷歌
: 的操守和水平了。

h*62017-03-06 08:03

17 楼

暂时想不到除了明文，或者易反推的加密文，其他的实现方法。

g*c2017-03-06 08:03

18 楼

这问题很赞，follow一个

l*z2017-03-06 08:03

19 楼

解决方法很简单啊，chrome本地在用户密码前加固定前缀ooxxooxx, 然后用用户自己选
择的密码加密，加密后传给server存。另外一台机子上从server上下载加密过的串，你
需要提供给chrome密码，用这个密码解密，看前缀有没有ooxxooxx，有就去掉前缀就是
用户存储的其他网站密码了，没有就说明用户输入的密码不正确。哈哈

【在 h**6 的大作中提到】

: 暂时想不到除了明文，或者易反推的加密文，其他的实现方法。

h*k2017-03-06 08:03

20 楼

这个只是在client上存放着明文，在Google server上存着的数据是用你自己设定的密
码加密过的

: 应该是明文吧，不同电脑间sync去密码管理里都能看到明文的密码。只能寄希望
于谷歌

: 的操守和水平了。

【在 C******r 的大作中提到】

: 应该是明文吧，不同电脑间sync去密码管理里都能看到明文的密码。只能寄希望于谷歌
: 的操守和水平了。

h*n2017-03-06 08:03

21 楼

你还可以问问，google 是怎么记住你家wifi密码的，换个手机立刻就能连
这可不需要什么google账号。

【在 j***a 的大作中提到】

g*i2017-03-06 08:03

22 楼

不用google账号，你换个手机就能连？我的手机到你家去也可以直接连了？

【在 h*********n 的大作中提到】

: 你还可以问问，google 是怎么记住你家wifi密码的，换个手机立刻就能连
: 这可不需要什么google账号。

w*e2017-03-06 08:03

23 楼

没错，只要用chrome本地明文密码做salt，这样即使用well known key pair，G也无法
恢复明文密码。当然，这假设chrome本地明文密码不上传。。

【在 l*****z 的大作中提到】

: 解决方法很简单啊，chrome本地在用户密码前加固定前缀ooxxooxx, 然后用用户自己选
: 择的密码加密，加密后传给server存。另外一台机子上从server上下载加密过的串，你
: 需要提供给chrome密码，用这个密码解密，看前缀有没有ooxxooxx，有就去掉前缀就是
: 用户存储的其他网站密码了，没有就说明用户输入的密码不正确。哈哈