是时候放弃插件密码管理器,改用密码管理器插件了

神锁离线版密码管理器插件

现已支持Google Chrome 和 Microsoft Edge浏览器,在插件商店中搜索安装就行了。

插件延续神锁离线版App的优良传统,无需注册、无需登录,即装即用。

安装后,把插件固定在插件栏,可以一键弹出扫码框。

固定插件栏

插件使用非常简单直观。在浏览器中打开需要登录的网页时,会自动弹出扫码登录框,只需在手机上2次点击就可以完成填充密码。

扫码登录

  1. 打开手机上的神锁离线版App(需要升级到2020.08版以上),点击扫码。

    扫码

    温馨提示,手机不需要离二维码很近,可以适当远一点。有些手机摄像头微距可能模糊,反而不容易扫出来。

  2. 接着会看到和自动填充一样的界面,点击选择要填充的账号。

    自动填充

选择后,App会加密账号密码数据,并打开手机浏览器,将加密信息发送到桌面浏览器,完成自动填充。

完成填充

为什么放弃插件密码管理器?

绝大多数密码管理器提供插件版时,都基于浏览器的插件开发接口,实现完整的密码管理器,称之为插件密码管理器。

那些云同步的插件密码管理器不是很好用吗?为什么要放弃?因为不安全!

即使不考虑云安全以及网络安全,插件密码管理器采用的技术也存在严重的安全威胁。

浏览器的插件开发接口基于Web技术,非常开放灵活。恶意程序通过 DOM / JS,几乎可以访问页面中的任何数据。著名安全研究员 Sean Cassidy 在他的博客 Browser Extension Password Managers Should Not Be Used 中认为插件密码管理器风险无法避免。

而且,浏览器漏洞众多,是除操作系统外,被黑客攻击最多的平台。

browser vulnerabilities

数据来源:CVE Details

正是因为这两大风险,安全研究人员都建议不要使用插件密码管理器。

神锁离线版密码管理器对待安全问题,从来都是精心设计,不落俗套。神锁离线版没有在插件中实现密码管理器的功能,而是做了一个真正的插件。使用手机端的App扫码,将密码加密发送到插件,再填充到网页。密码全部保存在手机App中,受手机安全芯片保护(手机模拟银行卡支付使用相同的安全芯片)。

security-chip

神锁离线版手机App,通过扫描由插件生成的二维码,与插件创建安全共享密钥,将需要填充的账号密码加密发送到插件。插件解密密码后,将它填充到网页的输入框中。

通过二维码创建的安全共享密钥,只有手机App和插件知道,实现端到端加密。无论是第三方,还是神锁离线版官方,都无法解密。

神锁离线版插件不保存任何密码,黑客无法通过读取浏览器数据来破解用户密码。

我们假设一个极端情况,浏览器存在严重的安全漏洞,破得像筛子一样,

筛子

神锁离线版插件的其他优势

神锁离线版在安全设计上,一直以来都是遥遥领先。此外,神锁离线版还有这些优势:


神锁离线版插件系列文章