安全性 - 密碼管理器的混亂

Question

我正在尋找一個好的密碼管理器（是的，我很挑剔），今天我遇到了一個有趣的問題：

1. 我的密碼儲存在 Google 密碼管理器中。
2. 對於幾個網站，我會使用 LastPass 來感受一下。
3. 對於我使用 GooglePass 中儲存的載入憑證輸入的新站點，LastPass 提供將條目儲存到我的保管庫的功能。如果我這樣做了，它們就可以被讀取、解密並且顯而易見。
4. 由於 GooglePass 保存的憑證應該使用我的 Google/Microsoft 使用者/密碼進行加密LastPass 如何讀取它們？它們「隱藏」在螢幕上，LastPass 並不「認識」它們。如果我想在 GooglePass 中存取它們，我需要提供我的 PC 帳戶憑證。 LastPass 怎麼可能毫無問題地執行（讀取）它？它能夠解密任何東西嗎？在將 ASC 字元以點或星的形式「隱藏」在螢幕上之前，它是否能夠讀取發送到密碼框的 ASC 字元？我不想儲存在保管庫中的密碼如何保護

由於我在「有限信任」的前提下行事，我有點困惑。我在這裡遺漏了一些明顯的東西嗎？

謝謝！

Answer 1

在網站上的密碼欄位中輸入的資料是純文字且可讀。在螢幕上它顯示為點，因此人們無法在您的肩膀上閱讀它，但在內存中它根本沒有編碼或加密。瀏覽器需要將此純文字版本傳送到伺服器，以便您可以登入。

然後，密碼管理器可以從瀏覽器記憶體中或透過檢查登入的 HTTP 請求來取得使用者名稱和密碼。密碼管理器可能會安裝瀏覽器擴充功能來完成此操作。