Parece que tiene curiosidad específicamente sobre la clave utilizada para cifrar las contraseñas en Chrome.
La respuesta es:
Cada contraseña está encriptada con una clave aleatoria diferente.
Y luego la contraseña cifrada se almacena en el archivo de base de datos SQLite:
%LocalAppData%\Google\Chrome\User Data\Default\Login Data
Puede usar algo como SQLite Database Browser o SQLite Maestro para verlo. Aquí hay un fragmento de mi Login Dataarchivo:
origin_url username_value password_value
======================================== ============== ========================
http://thepiratebay.org/register JolineBlomqvist@example.com 01000000D08C9DDF0115D1118C7A00C04FC297EB01000000BB0E1F4548ADC84A82EC0873552BCB460000000002000000000003660000C0000000100000006811169334524F33D880DE0C842B9BBB0000000004800000A00000001000000043C8E23979F5CC5499D73610B969A92A08000000EE07953DEC9F7CA01400000098B5F0F01E35B0DC6BBAFC53A9B1254AC999F4FA
Notarás que la contraseña es un blob de datos cifrado. El algoritmo aproximado para cifrar una nueva contraseña es:
- generar una nueva clave de sesión aleatoria
- cifrar la contraseña con la clave de sesión
- cifrar la clave de sesión con la clave pública RSA del usuario
- generar un código de autenticación de mensaje (HMAC) para los datos cifrados
- concatenar la clave de sesión cifrada, la contraseña cifrada y el MAC
Y Chrome guarda ese blob en su base de datos SQLite.
Pero para responder a su pregunta: ¿De dónde viene la clave de cifrado?
Cada contraseña se cifra con una clave diferente generada aleatoriamente
Los detalles técnicos
Por supuesto, omití los detalles técnicos. Chrome no cifra sus contraseñas en sí. Chrome no tiene una clave maestra utilizada para cifrar nada. Chrome no hace el cifrado. Windows lo hace.
Hay una función de Windows CryptProtectData, que se utiliza para cifrar cualquier información arbitraria que desee. Los detalles de llamarlo son menos importantes. Pero si invento un pseudo-lenguaje que de alguna manera puede ser descifrable como cualquier lenguaje de programación, Chrome llama:
CryptProtectData(
{ cbData: 28, pbData: "correct battery horse staple" },
"The password for superuser.com and all the glee therein",
null, //optional entropy
null, //reserved
null, //prompt options
0, //flags
{ cbData: pbData: }); //where the encrypted data will go
Entonces la contraseña:
- Texto sin formato :
correct battery horse staple
- Cifrado :
01000000D08C9DDF0115D1118C7A00C04FC297EB01000000BB0E1F4548ADC84A82EC0873552BCB460000000002000000000003660000C0000000100000006811169334524F33D880DE0C842B9BBB0000000004800000A00000001000000043C8E23979F5CC5499D73610B969A92A08000000EE07953DEC9F7CA01400000098B5F0F01E35B0DC6BBAFC53A9B1254AC999F4FA
Notarás que nunca necesité proporcionar una contraseña. Eso es porque Windows se encarga de todo eso. En el final:
- Se genera una contraseña aleatoria para cifrar la contraseña
- esa contraseña está encriptada con una contraseña aleatoria
- esa contraseña está encriptada con su contraseña de Windows
Entonces, la única manera para que alguien sepa su contraseña es si la conocen.