17 noviembre 2008

Mozilla Firefox y sus contraseñas "recordadas"

Cada vez este navegador se extiende más y más entre nosotros, siendo incluso protagonista de noticias por los records de descargas que ha batido, y como no, de su uso, llegando hasta poseer el 20% de cuota del mercado mundial de navegadores. Criticado por temas de memoria ("déjame un poco de RAM aunque sea para el bloc de notas...") pero alabado por sus complementos ("benditos addons..."), frente a él pasamos seguramente, el mayor tiempo que dedicamos a navegar por internet.

Dejando a un lado lo que es el navegador en sí, hoy os hablaremos de una herramienta que se dedica ni más ni menos a volcar el listado de nombres de usuario y contraseñas que hemos elegido guardar en el navegador y que nos las recuerde por los siglos de los siglos (o por lo menos, hasta el próximo formateo...). Esta herramienta se llama FirePassword.

El listado de nombres de usuario y contraseñas se encuentra almacenado y cifrado en unos ficheros concretos, que corresponden con key3.db y signons.txt (para la versión del navegador anterior a la 2), signons2.txt (para la versión 2 del navegador) o signons3.txt (para su versión 3 o posterior). Estos se pueden encontrar en nuestro directorio del perfil, que según el sistema corresponde a:

Windows
  • Documents and Settings\\Application Data\Mozilla\Firefox\Profiles\

  • Users\\AppData\Roaming\Mozilla\Firefox\Profiles\

  • Linux/Unix
  • ~/.mozilla/firefox/

  • Mac OS X
  • ~/Library/Mozilla/Firefox/Profiles/

  • ~/Library/Application Support/Firefox/Profiles/

  • El fichero key3.db contiene la contraseña maestra y la clave para cifrar y descifrar las contraseñas que se encuentran en los signons.


    La herramienta, que funciona únicamente en windows por línea de comandos, accede al directorio del perfil especificado como parámetro y muestra por pantalla todas las credenciales y dominios dónde se aplican. Cabe destacar, que si se posee tanto del fichero key3.db, signons y el cert8.db (fichero de certificados de Firefox) y se coloca en un fichero temporal cualquiera, especificándose como directorio perfil, también se puede obtener toda la información sensible.

    Como nota curiosa, y recordando un post de nuestro compañero Alejandro Ramos sobre el uso de la herramienta emule para la búsqueda de no sólo dvdrips, si lanzamos una petición de signons2.txt, signons3.txt o key3.db en su buscador, más de un resultado ya sale...

    7 comments :

    Anónimo dijo...

    Noooooooooo veas... :D

    Interesante cuestión. De hecho andaba preguntándome estos días qué cositas se le podrían hacer a Firefox para "fastidiar un poco" la seguridad que ofrece el navegador (como la about:cache y la gestión de archivos que realiza).

    Muy interesante. ¡Saludos!

    Anónimo dijo...

    Muy buen artículo.
    me dio un par de ideas :)

    Chauu

    Anónimo dijo...

    "Cabe destacar, que si se posee tanto del fichero key3.db, signons y el cert8.db (fichero de certificados de Firefox) y se coloca en un fichero temporal cualquiera, especificándose como directorio perfil, también se puede obtener toda la información sensible."

    De esta frase no entiendo casi nada.

    Anónimo dijo...

    Yo no tengo problemas con eso ... NUNCA recuerdo las contraseñas en ningun navegador ... estan en mi cabeza jejeje
    Firefow sigue siendo 1000 veces mas eficiente que IE le moleste a quien le moleste ;)
    Y por cada fallo de Firefox IE cuenta mas de 10.
    Pon un parche en tu vida ... usa WINDOWS

    Anónimo dijo...

    Estoy deacuerdo. IE es no 10 veces mal vulnerable, sino 100. De todas maneras la seguridad y, por ende, la estabilidad de nuestros equipos empieza por entender qué cosas se deben hacer o no. Y que una herramienta, que nos sirve para conectarnos con otros equipos, como el navegador, almacene ese tipo de información no resulta muy buena idea.

    El virus mas extendido en el mundo es Windows.

    José A. Guasch dijo...

    "Cabe destacar, que si se posee tanto del fichero key3.db, signons y el cert8.db (fichero de certificados de Firefox) y se coloca en un fichero temporal cualquiera, especificándose como directorio perfil, también se puede obtener toda la información sensible."

    De esta frase no entiendo casi nada."


    La frase se refiere a que el programa pide como parámetro de entrada un "directorio de perfil de firefox", pero si simplemente creas un directorio en tu disco duro, con esos 3 ficheros y dicho directorio lo indicas como parámetro, también funciona. Esto lo probé por lo menos con los ficheros que utiliza el Firefox v2, hace tiempo.

    Espero haberlo aclarado

    Anónimo dijo...

    Algo asi me paso con FEBE estaba probrando y me generaba un archivo, por curiosidad busco en google y encontre de alguien que habia subido sin querer ese archivo de FEBE