Менеджер паролей в Firefox будет полагаться на защиту аккаунта Windows

[Stepanow]

Именно каждый раз вводить пароль? Имея всякие «windows hello»? Если настроен вход по отпечатку пользователя, то этого будет недостаточно?

[Godless]

Но ведь FF не только под винду существует. Как на других платформах ведет себя Firefox Lockwise?

[dartraiden]

Лучше читать первоисточник. Авторизация средствами Windows будет запрашиваться только если не установлен мастер-пароль.

На других платформах, как и прежде, можно установить мастер-пароль (или не устанавливать его).

[DerRotBaron]

Что характерно, в Firefox издревле был мастер-пароль на базу логинов, в отличие от многих других (в т.ч. хромых) браузеров. Сейчас же разблокировка с аккаунтом винды выглядит как кривая полумера, т.к. она добавляет все те же неудобства, не давая достойный уровень защиты, ведь шанс утечки пароля от винды к локальной малвари несколько выше, чем пароля, используемого только в Firefox.

[fougasse]

А есть статьи по утечкам пароля/пина/отпечатка системного к малвари? Мне пока кажется, что вполне здравое решение использовать крипто-сервис из ОС, чем делать своё.

[tundrawolf_kiba]

Ну скажем так, в хроме такое же решение, если я правильно понимаю, и там как раз недостаток был в том, что пользователю приходилось вводить пароль от ОС, но при этом любая программа запущенная из под того же пользователя — спокойно имела доступ ко всем паролям. Это одна из причин, по которой команда ЯБ запилила свою реализацию мастер-пароля(хотя долговато они тянули, это да)

[fougasse]

Не знаток, но не очень понимаю как это получается.
Там разве не что-то типа токенов генерируется системой для доступа по паролю/отпечатку/пину?

[tundrawolf_kiba]

Если я правильно понимаю — то у нас есть зашифрованные пароли и есть ключ лежащий где-то в системном хранилище. Да, другому человек скорее всего будет проблематично войти если он не знает пароля/отпечатка/пина, но, когла пользователь уже авторизовался — то любая прогрмма как понимаю, щапущенная под этим пользователем(а на большинстве компьютеров это так и будет) получит доступ к ключу лежащему в системном хранилище и расшифрует все пароли. Только учтите что я тоже не спец, а пересказываю то, что запомнил из того что читал тут на хабре.

[dartraiden]

А кто у вас отнимает мастер-пароль?

he should be asked to enter his current windows password if he didn't setup a master password

К сожалению, подобные статьи вредят имиджу браузера, создавая у пользователей ложное ощущение, будто их лишили какой-то возможности.

[Murimonai]

А тот факт что учетка Firefox и учетка Windows вовсе не обязаны принадлежать одному человеку — их видимо не смущает. Почему просто не просить залогиниться в аккаунт Firefox?

[dartraiden]

Почему просто не просить залогиниться в аккаунт Firefox?

Потому что аккаунт Firefox предназначен для синхронизации и предполагается, что пользователь всегда залогинен в него, а не логинится каждый сеанс.

А тот факт что учетка Firefox и учетка Windows вовсе не обязаны принадлежать одному человеку

Не обязаны, но разумно завести каждому пользователю отдельную учётку, потому что это банально удобно и безопасно. Я бы ни за какие коврижки не пустил в свою учётную запись какого-то другого человека, который поставит себе отдельный браузер и будет им пользоваться. Потому что этот человек получает доступ ко всем моим файлам и мои права, а среди моих данных есть такие, утечка которых (по оплошности этого другого человека, который не желает мне зла, но банально подхватил какого-то вредоноса) может стоит довольно дорого и причинить неприятности не только мне, но и другим. Так что, извини, дорогой член семьи, я тебя, конечно, люблю, но я не имею права подставлять других людей, вот тебе персональная учётка (с ограниченными правами, если уровень компьютерной грамотности этого члена семьи невысок), там делай, что хочешь.