什么是 libsecret？

Question

我刚刚跑了拉扎涅在我的 Ubuntu 台式电脑上。这是一个扫描计算机以查找密码的 Python 程序。

它找到了 14 个密码，其中一些仍然有效。我更改了大部分密码。通过使用选项 -v 运行程序，我们可以看到密码在哪里找到。

所有密码都可以通过 Libsecret 找到。根据 gnome wiki 的秘密：

libsecret 是一个用于存储和检索密码和其他机密的库。它使用 D-Bus 与“秘密服务”进行通信。gnome-keyring 和 ksecretservice 都是秘密服务的实现

1. 这个图书馆是什么？ 
2. 我如何保护我的密码？

Answer 1

libsecret 正在按预期工作 - 但其意图可能与您的用例不一致。

“特勤局”允许用户以某种方式存储密码，交通便利对于登录的用户，但是很难进入由其他人。

如果您的计算机被物理窃取（在您未登录时）或硬盘被复制，那么攻击者必须破解一些严格的加密才能访问您的密码，因为他无法通过 D-Bus 访问它们。如果在您的机器上运行的 Web 服务器（在另一个用户下）被黑客入侵，攻击者无法通过 D-Bus 访问您的密码，因为他们的登录名是错误的。

但如果你以你的账户运行的程序要求输入密码，密码就很容易被获取。这就是 Lazagne 能够轻易获取密码的原因。

这允许在安全性和便利性之间做出妥协，这对于普通用户来说通常是可以接受的 - 但对您来说可能不可接受。您可以通过不使用存储密码的功能或使用不与 libsecret 集成的软件，轻松避免将密码存储在密钥环或朋友中。