Почему так легко украсть чужие куки firefox?

Question

[martensit]

Сделал небольшой эксперемент.
Есть - 1) Домашний комп с Windows 7
2) Cервер с Windows Server 2012 r2
Установена там и там последняя версия firefox (с офф сайта).
Что я сделал: скопировал 1 файл(cookies.sqlite) из директории firefox с домашнего компа, в директорию firefox сервера.
В результате на сервере в браузере везде выполнен вход под моими учетками.
Между серваком и домашним компом нет ничего общего.
Как такое могло получиться вообще?

Answer 1

[Lynn «Кофеман»]

Эм? А чего ты ожидал?

И вообще, физический доступ к компу это ни разу не «легко» с точки зрения информационной безопасности.

UPD: Официальная позиция Chrome. Вполне применима к любым другим браузерам и вообще приложениям.
https://dev.chromium.org/Home/chromium-security/se...

Why aren't physically-local attacks in Chrome's threat model?
[...]

We consider these attacks outside Chrome's threat model, because there is no way for Chrome (or any application) to defend against a malicious user who has managed to log into your computer as you, or who can run software with the privileges of your operating system user account.

Comments

[martensit]

c Chrome такое невозможно провернуть помоему.
Да и скрипт, который возьмет и скачает куда то мой cookies.sqlite, даже антивирусы не заметят

[Lynn «Кофеман»]

martensit,
Да ну?

$ sqlite3 .config/google-chrome-unstable/Default/Cookies 'select * from Cookies limit 1;'
13132674324938999|.codepen.io|__cfduid||/|13164210324938999|0|1|131326....

[Антон Иванов]

Алексей Тен, только в хроме значения кук зашифрованы с помощью CryptProtectData и их не получится расшифровать на другой машине. Не знаю насчет фф

[Lynn «Кофеман»]

Антон Иванов, https://bugs.chromium.org/p/chromium/issues/detail...
https://dev.chromium.org/Home/chromium-security/se...

Why aren't physically-local attacks in Chrome's threat model?
[...]

We consider these attacks outside Chrome's threat model, because there is no way for Chrome (or any application) to defend against a malicious user who has managed to log into your computer as you, or who can run software with the privileges of your operating system user account.

Answer 2

[dollar]

Поэтому я запускаю браузер из под другого пользователя с определенными правами. Если вирус в самом браузере, то он не получит доступа к системе. А программы пользователя, соответственно, не могут получить доступ к рабочей папке браузера. Лишь админский доступ даёт возможность украсть, но это уж сам виноват, как говорится.

Comments

[martensit]

Любой софт без проблем получит доступ к рабочей папке браузера.
Я на c# парсеры пишу на селене, там как раз нужно копировать эти куки туда-сюда.
И на скомпилированные exe-шники чет Касперский не ругается почему то.

[dollar]

martensit, странное заявление. Если софт с админскими правами, то да. А если из под ограниченной учетки пользователя, то с какого перепугу он получит доступ туда, куда нельзя?

[dollar]

Я же написал: из под другого пользователя с определенными правами. То есть этот момент нужно заранее продумать и грамотно настроить. А если вы берете какого-то готового пользователя с какими-то неизвестными правами, то у него вполне может оказаться доступ к чему угодно.