Ви повинні вимкнути автозаповнення в Менеджері паролів

Рекламодавці знайшли новий спосіб відстеження. Згідно з Freedom to Tinker, кілька рекламних мереж тепер зловживають скриптами відстеження, щоб захопити адреси електронної пошти, які ваш менеджер паролів автоматично заповнює на веб-сайтах.

Але все гірше: вони могли б використовувати цю технологію, щоб захопити ваші паролі, якщо вони цього захочуть. Це впливає на всіх, хто використовує менеджер паролів, незалежно від того, чи вбудований менеджер паролів на зразок Chrome, Firefox або Edge, або розширення браузера, як LastPass. Як результат, можливо, вимкніть функцію автозаповнення, щоб запобігти цьому.

Як автозаповнення видаляє вашу інформацію

Коли ви зберігаєте своє ім'я користувача та пароль на веб-сайті, менеджер паролів запам'ятовує їх. З цього моменту він намагатиметься автоматично заповнити їх у вікна імені користувача та пароля, які він бачить на цьому веб-сайті. Таким чином відбувається швидше вхід, тому що потрібно просто натиснути "Увійти".

Але деякі рекламні сценарії третіх сторін - ті, які використовує майже кожен веб-сайт, - починають використовувати їх для відстеження. Вони працюють у фоновому режимі, створюють фальшиві коробки для входу в систему та пароля, які ви навіть не бачите, а також фіксують облікові дані, які заповнює менеджер паролів.

Ви можете побачити цю проблему для себе, відвідавши цю сторінку демонстрації. Заповніть фальшиву адресу електронної пошти та пароль, і вам буде запропоновано зберегти його в менеджері паролів веб-переглядача. Продовжити, і він буде автозаповнюватися у фоновому режимі, за допомогою скрипта, який захоплює адресу електронної пошти та пароль.

Цей демонстраційний сайт наразі не показує жодних проблем, якщо ви використовуєте LastPass, але все, що автоматично заповнює імена користувачів і паролі без втручання користувача - LastPass включено - теоретично є вразливим.

Вам потрібні унікальні паролі в усьому світі, так що менеджери паролів все ще важливі

Ця проблема демонструє важливість використання унікальних паролів на кожному веб-сайті. Це не просто теоретична атака - вона фактично використовується рекламодавцями на 1110 найбільших мільйонних веб-сайтах сьогодні, згідно зі Свободою Тінкеру. Наразі рекламодавці використовують цей метод для захоплення імен користувачів і адрес електронної пошти, але ніщо не заважає їм захоплювати паролі також, якщо коли-небудь було в особливо неприємному настрої.

Якщо рекламодавець зафіксував ваш пароль на веб-сайті, найгірше, що хтось із цих даних міг би це зробити, - увійти на цей веб-сайт. Це не ідеал, але це не найгірше, що може статися. якщо ви використовуєте той самий пароль для цього веб-сайту, що й для свого облікового запису електронної пошти, він може отримати доступ до облікового запису електронної пошти та використовувати його для отримання доступу до інших облікових записів. Ось найгірше, що може статися.

Ось чому ми все ще рекомендуємо використовувати менеджер паролів, незважаючи ні на що. З усіма різними обліковими записами, які звичайний користувач має в Інтернеті, і частотою атак на ці веб-сайти, необхідно використовувати унікальний пароль для кожного сайту, який ви відвідуєте. Найкращий спосіб зробити це за допомогою менеджера паролів - не викидайте дитину з водою.

Захистіть себе шляхом вимкнення автозаповнення

Тим не менш, ви все ще можете пом'якшити деякі ризики цих скриптів, вимкнувши автозаповнення в менеджері паролів. Наприклад, якщо ви використовуєте LastPass (який в даний час не впливає на ці скрипти, але теоретично може бути), функція автозаповнення заповнює поля входу з вашими обліковими даними, так що ви можете просто натиснути "Login". Якщо ви вимкнете функцію автозаповнення, потрібно буде натиснути піктограму LastPass у полі пароля і клацнути своє ім'я користувача, щоб заповнити збережену інформацію. Це робитиметься лише при спробі входу, тому це повинно захистити облікові дані від засвоєння. Ви більше не обприскуєте їх по кожній сторінці.

Ви також можете просто скопіювати і вставити імена користувачів і паролі від вашого менеджера паролів, і це зробить вас ще безпечнішими, але значно менш зручними. Ми вважаємо, що вручну ініціювати автозаповнення лише на сторінках для входу має бути хороша середня межа між безпекою та зручністю. Якщо ці сторінки входу в систему були скомпрометовані таким сценарієм, ніщо не може допомогти вам, але сценарій може читати ваші реєстраційні дані, навіть якщо їх скопіювати та вставити або вручну ввести їх.

На жаль, більшість менеджерів паролів веб-переглядачів не дозволяють вимикати автозаповнення. Наприклад, неможливо вимкнути функцію автозаповнення, якщо ви використовуєте вбудований менеджер паролів у Google Chrome або Microsoft Edge, наприклад. У Chrome є можливість вимкнути автозаповнення, але воно вимикає лише автозаповнення даних, таких як адреси та телефонні номери, а не паролі. Існує можливість вимкнути автозаповнення паролів в менеджері паролів Mozilla Firefox, але це приховано в about: config.

Якщо ви використовуєте вбудований менеджер паролів у Chrome або Edge, ми рекомендуємо вам перейти до стороннього менеджера паролів, який надає більше контролю, наприклад LastPass або 1Password. 1Password не зазнає цієї проблеми, оскільки не містить функції автоматичного заповнення.

У програмі LastPass можна вимкнути автозаповнення, натиснувши кнопку розширення LastPass на панелі інструментів веб-переглядача і натиснувши "Налаштування". Зніміть прапорець "Автоматично заповнити інформацію про вхід" у розділі Загальні, а потім натисніть "Зберегти", щоб зберегти зміни.

Якщо ви хочете продовжувати використовувати менеджер паролів Firefox, введіть "about: config" у адресний рядок Firefox і натисніть Enter. Ви побачите екран попередження, який повідомляє, що зміна різних параметрів тут може викликати проблеми. Не хвилюйтеся - якщо ви просто зміните окремі налаштування, які ми вказуємо, ви будете добре. Натисніть "Я приймаю ризик!", Щоб продовжити.

Введіть "autofillForms" у поле пошуку та двічі клацніть на параметрі "signon.autofillForms", щоб встановити значення "false". Firefox більше не буде автозаповнювати імена користувачів і паролі без вашого дозволу.

Якщо ви використовуєте інший менеджер паролів, вам слід відкрити його налаштування та вимкнути параметр "автозаповнення" або "автоматичне заповнення", щоб упевнитися, що ваш менеджер паролів не пропустить вашу особисту інформацію.

Розробники браузерів і менеджерів паролів повинні переосмислити менеджерів паролів, щоб зробити їх більш безпечними. Вони не повинні намагатися автоматично заповнювати дані для входу на кожну веб-сторінку, яку ви відвідуєте на певному веб-сайті. Це просто прохання про неприємності. Але, на даний момент, ви можете вимкнути автозаповнення, щоб зробити себе більш безпечним.

Зображення: vladwei / Shutterstock.com.