Zabezpieczenie haseł

[krasnalek]

W Thunderbirdzie łatwo można odczytać zapisane hasła. Można zabezpieczyć je hasłem głównym, ale powoduje to, że Thunderbird pyta o to hasło również np. przy włączaniu programu.
Czy jest jakiś sposób na to, żeby Thunderbird pytał o hasło główne tylko przy próbie odczytania zapisanych haseł ?

[krasnalek]

Naprawdę nikt nie wie ?

[Lucek]

A może masz ustawione ściaganie poczty po włączaniu programu? Wtedy są potrzebne hasła i dla tego pyta o master password. W ustawieniach konta wyłącz to a spyta dopiero po kliknięciu "odbierz".

[krasnalek]

Tak - mam ustawione ściąganie poczty po uruchomieniu Thunderbirda.
Chodzi mi o to, żeby przy odbieraniu poczty wogóle nie pytał o główne hasło.
O główne hasło ma pytać tylko gdy wejdę do Narzędzia --> Opcje --> Zaawanosowane --> Pokaż zachowane hasła --> Pokaż hasła.

[Lucek]

Wydaje mi się, że tak to się nie da. Chyba...

[krasnalek]

Wreszcie udało mi się znaleźć odpowiedź.
Do pliku user.js należy dodać linijkę:

Kod: Zaznacz cały

user_pref("wallet.crypto", true);

[ch4ron]

Serdeczne dzięki.

pliku user.js nie znalazłem, za to poszukałem stringa

wallet.crypto

w plikach *.js i znalazłem go w KATALOG THUNDERBIRDA/defaults/pref/all-thunderbird.js ale sama zmiana tego parametru nic nie dała musiałem zmodyfikować sąsiedni.
Oto co pozmieniałem (wersja oczywiście po zmianach):

pref("wallet.crypto", true);
pref("wallet.crypto.autocompleteoverride", true); // Ignore 'autocomplete=off' - available only when wallet.crypto is enabled.

Po tych zmianach przycisk "Pokaż hasła" przestał reagować, można go sobie wciskać do woli, natomiast na liście kont, przy każdym pojawił się napis encrypted.
Mam TB wersja 1.0 (20041206).


update
konto użytkownika z ograniczonym dostępem, nie ma możliwości edycji tego pliku, więc w takiej sytuacji jak moja, to dobre rozwiązanie

[krasnalek]

Plik user.js musisz sam stworzyć w profilu Thunderbirda.
Utwórz hasło główne. Przycisk będzie aktywny, tylko żeby odczytać hasła, trzeba będzie podać hasło główne.
http://img140.exs.cx/img140/8959/clipboard016vi.jpg

[run_DNA]

Kod: Zaznacz cały

On Windows 2000/XP, the path is usually %AppData%\Thunderbird\Profiles\default\xxxxxxxx.slt\, where xxxxxxxx is a random string of 8 characters. Just browse to C:\Documents and Settings\[User Name]\Application Data\Thunderbird\Profiles\ and the rest should be obvious.

Chciałem utworzyć ten plik user.js ale u mnie jest inna ścieżka dostępu, a mianowicie:
C:\Documents and settings\Nazwa konta\Dane Aplikacji\Thunderbird\Profiles\tutaj jest jakiś numer.default\ nie ma katalogu default - to oznacza ze mam go stowrzyć i tam utworzyc plik user.js czy w podkatalogu chrome?

[krasnalek]

User.js masz utworzyć w katalogu cośtamcośtam.default.

[run_DNA]

Utworzyłem plik user.js, dokonałem również zmian w all-thunderbird.js, zresetowałem wszystkie swoje hasła (najpierw kliknąłem na Usuń wszystkie, potem jeszcze wybrałem resetuj hasło). Nic to nie dało, nadal jak włączam TB (mam ustawione by przy uruchomieniu sprawdzał poczte) to się pyta o hasło dla urządzen zabezpieczających.

[Gość]

chrome://pippki/content/pref-masterpass.xul

[krasnalek]

Nie trzeba nic zmieniać w all-thunderbird.js.
Po co usuwasz hasła ? Przecież w tym wszystkim chodzi o to, żeby mieć je zapisane i zabezpieczone hasłem głównym.

Jeżeli po dopisaniu user_pref("wallet.crypto", true); dodamy nowe konto, to TB będzie pytał o hasło główne po uruchomieniu.
Żeby to zmienić, trzeba w opcjach odznaczyć 'use a master password to encrypt stored passwords' (użyj hasła głównego do szyfrowania haseł - lub jakoś podobnie).
Po ponownym uruchomieniu TB nie zapyta o hasło główne, a opcja znów będzie zaznaczona.

[run_DNA]

Dziękuje bardzo, pomogło. Teraz o hasło główne pyta się tylko gdy chce zobaczyć hasła.

[Gość]

jesli nikt do tej pory nic nie wymyslil to ja sobie zabezpieczylem to tak
wywalilem wszystkie skroty wywalilem thunderbirda z programow (wszystie programy) i uruchamiam go z wiersza polecen wpisujac thunderbird. Przed madrzejszymi od siebie i tak sie nie zabezpiecze a na glupszych to wystarcza. Nie ma programu nie ma gdzie szperac a dodatkowego uzytkownika nie che zakladac. Ale jesli jest jakis sposob zabezpieczenia dostepu do programu to prosze o jakies info.

[TB PASS USER]

Jak ustawić, żeby tylko zabezpieczyć podgląd haseł hasłem głównym,
ale żeby NIE było pytania o to główne hasło przy każdym sprawdzaniu i wysyłaniu poczty!

TIPS:

1. start > uruchom > cmd
2. w cmd wpisz: dir /B "%APPDATA%\Thunderbird\Profiles\"
3. otrzymasz w wyniku nazwę katalogu cośtam.default
4. w cmd wpisz: notepad %APPDATA%\Thunderbird\Profiles\cośtam.default\prefs.js i enter
5. w notatniku dopisz linię: user_pref("wallet.crypto", true);
6. zapisz plik "ctrl+s"
7. zamknij notatnik "alt+F4" i okno cmd "alt+F4"
8. w TB > narzędzia > opcje > prywatność > hasła
   • zaznacz "Hasło główne"
   • wpisz hasło w "Ustal hasło główne"
9. koooniec - powinno działać

[Tomek]

prostsze rozwiązanie?
W edytorze ustawień (narzędzia-opcje-zaawansowane-ogólne) dodać typ boolean z nazwą wallet.crypto i ustawić na true.
Nie sprawdzałem czy to działa (nie ta metoda z edytorem, ale ogólnie ten sposób) - ale IMO szybciej dodać przez about:config niż przez kombinacje takie jak powyżej.

[An]

Witam, metoda podana w poście wyżej u mnie nie działa z TB 3.0.1
Jest jakaś metoda by usunąć guzik "Wyświetl hasła" ?
Albo czy można pozbawić TB funkcji pokazywania haseł, przy jednoczesnym ich przechowywaniu najlepiej w zakodowanej postaci ?

Tak w ogóle to chora opcja jest, by w programie tak łatwo dało się zobaczyć hasło przypisane do konta, za to hasło główne blokuje za dużo potrzebnych opcji.

Pozdro.

[Gość]

Mam wersję 3.0.3 i też nie działa.
Nie mówiąc o tym, że po anulowaniu okienka z pytaniem o hasło główne, i tak można wejść do katalogów i przeglądać dotychczasową pocztę... przecież to ABSURD!!

[Grzegorz]

notepad %APPDATA%\Thunderbird\Profiles\cośtam.default\prefs.js (...) w notatniku dopisz linię: user_pref("wallet.crypto", true);

Wartość zmiennej wallet.crypto można ustawić bezpośrednio w Thunderbirdzie >
menu Narzędzia > Opcje > karta Zaawansowane > przycisk Edytor ustawień.

po anulowaniu okienka z pytaniem o hasło główne, i tak można wejść do katalogów i przeglądać dotychczasową pocztę... przecież to ABSURD!!

Nie można jeśli nie jest przechowywana lokalnie. Absurd to jest oczekiwanie od programu pocztowego szyfrowania profili po zmianie opcji, która do tego nie służy czy przypisywanie voodoo jakiś użytkowników do zaleceń i dokumentacji Mozilli - Thunderbird nie ma takich funkcji, autorzy nigdy ich też nie zapowiadali, co więcej nie ma ich chyba żaden inny klient poczty. Chcesz bezpieczeństwa korzystaj z osobnych kont w systemie oraz szyfruj dysk lub wybrane foldery.

Hasło główne nie zabezpiecza Cię w żadnym razie przed przechwyceniem zapamiętanych haseł, gdy atakujący ma dostęp do komputera. A o takim scenariuszu mówią wszyscy w tym wątku. Hasło główne w Firefoksie, Thunderbirdzie czy SeaMonkey można złamać w parę minut. Owszem to wada oprogramowania, ale też należy sobie zdawać sprawę z tego, że nie ma oprogramowania idealnego i że prawie każde zabezpieczenie można złamać mając fizyczny dostęp do komputera.