Tipuan apa yang digunakan Microsoft yang membuatnya sulit atau tidak mungkin untuk menyimpan kredensial login Langsung Anda?

Pada sistem single sign on Microsoft, mereka tampaknya menggunakan semacam tipu daya untuk mencegah peramban ingin menyimpan kata sandi. (Atau setidaknya Firefox berperilaku seperti itu). Saya memiliki bookmarklet Penghemat Kata Sandi yang memanipulasi pelengkapan otomatis pada formulir / bidang untuk mencegah browser meminta saya untuk menyimpan kredensial saya, tetapi ini sepertinya tidak berdampak pada Live.

— Chris Marisic
sumber

Jawaban:

Mereka mungkin mengubah nama bidang dalam kode HTML setiap kali seseorang mengunjungi halaman. Ketika Mozilla, Opera, atau browser lain mencoba menyimpan data jenis input "kata sandi", mereka juga menyimpan nama bidang sebagaimana didefinisikan dalam nilai "nama" pada tag "input" HTML yang relevan.

Jika bidang "nama" (yang tidak dilihat pengguna) selalu menyertakan perubahan (unik atau acak?), Misalnya, maka ini akan mematikan sistem ini karena mereka akan mengharapkan nama bidang input yang sama disimpan sebelumnya (dan tidak menemukannya) pada kunjungan kembali.

Ini adalah teknik yang saya temukan jarang digunakan di situs web di mana webmaster menganggap fitur "ingat kata sandi" di browser web sebagai risiko keamanan yang serius.

— Randolf Richardson
sumber

Meskipun saya belum pergi dan memverifikasi ini, ini pasti terdengar masuk akal dan mengerikan untuk pengalaman pengguna. Saya benci ketika situs web merasa "mereka tahu lebih baik" daripada pengguna mereka sendiri. Kata sandi firefox saya dienkripsi dengan kata sandi aman (dan benar-benar unik), saya sama sekali tidak peduli dengan pencurian kata sandi.

— Chris Marisic

Sekarang ini adalah taktik yang saya harus mulai ingat untuk menempatkan pada bidang kartu kredit, itu adalah sesuatu yang selalu membuat kulit saya merangkak di mana saya mengklik ke dalam kotak CC dan melihat jawaban otomatis lengkap dengan CC saya dalam teks biasa.

— Chris Marisic

+1 karena teknik ini sangat masuk akal untuk bidang input yang dirancang untuk nomor kartu kredit.

— Randolf Richardson

@ Chris Ini akan memperburuk masalah kartu kredit. Peramban sekarang tidak hanya akan mengingat satu kartu kredit, tetapi juga mengingatnya lagi setiap kali Anda harus memasukkannya kembali ke situs yang sama. Akan lebih mudah menemukan nomor yang tersesat. Hanya karena Anda tidak melihatnya, tidak berarti itu tidak disimpan di suatu tempat.

— Joel Coehoorn

@ Joel Coehoorn jika virus mencuri file lengkapi otomatis dan nomor kartu di dalamnya yang tidak masalah apakah itu ada 500x atau sekali, namun mencegah pengguna dari duduk di komputer Anda dan mengklik ganda bidang pada sebuah situs e-commerce dan secara ajaib melihat kartu Anda muncul.

— Chris Marisic

Saya menemukan kode berikut dengan memilih bidang input Windows Live ID, mengklik kanannya, dan memilih View Selection Source di bawah Firefox:

<input class = "cssTextInput" autocomplete = "off" maxlength = "113" id = "i0116" name = "login" type = "text">

The autocomplete="off"kode mungkin bertanggung jawab untuk perilaku ini. Lihat Jaringan Pengembang Mozilla: Cara Mematikan Fitur Pelengkapan Otomatis . Kemungkinan ada kode CSS lebih lanjut yang dimaksudkan untuk mengalahkan upaya untuk mem-bypass kode ini.

— bwDraco
sumber

Harus ada sesuatu yang lain juga - bookmarklet penghemat kata sandi secara otomatis menghapus autocomplete = "off" melalui manipulasi DOM.

— Stephanie

Saya bertindak sejauh meretas Firefox nsloginmanager.js saya untuk mengubah di mana Firefox memeriksa apakah autocomplete = off pada elemen untuk hanya mengembalikan false (atau benar, mana yang dibutuhkan saya tidak ingat) untuk benar-benar menghancurkan autocomplete = off "fitur" yang Aku benci. situs web seharusnya tidak dapat menentukan ke browser jika saya ingin memilih keluar, itu mengganggu saya secara besar-besaran berapa banyak pekerjaan yang harus saya lakukan untuk menonaktifkan itu. Seharusnya di about: config, tapi ini bukan forum FF yang dikeluhkan olehku.

— Chris Marisic

Jadi ada yang tahu kode apa yang mencegah kredensial login tidak disimpan?

— bwDraco