Comment stocker en toute sécurité les mots de passe et utiliser l'authentification http dans une extension chrome

Question

Je crée une extension chrome qui nécessite l'extraction d'un fichier xml à partir d'un serveur sécurisé.

Je suis actuellement en utilisant XMLHttpRequest() pour faire un appel au serveur

https://username:password@mydomain.com 

qui retourne un objet xml que je peux analyser et afficher. Je veux que cette extension soit disponible pour plus que mon utilisation de passe-temps, ainsi elle a besoin d'une page d'options pour placer et stocker le nom d'utilisateur et le mot de passe.

Comment est-ce que je devrais stocker le mot de passe d'utilisateur dans le chrome de sorte qu'il soit sécurisé? chrome a un localStorage global pour chaque extension qui permet aux auteurs d'extensions de stocker des données, mais il est stocké en texte brut. il ne permet pas aux extensions d'accéder au stockage 'remember my password' (avec de bonnes raisons).

et existe-t-il un moyen plus sûr de faire http auth? Ma façon actuelle de faire les choses nécessite de passer le nom d'utilisateur/mot de passe en texte clair dans l'url chaque fois que la fonction est appelée, même si la session d'authentification n'a pas expiré.

Answer 1

Une idée: demandez à l'utilisateur une clé, que vous pouvez utiliser pour crypter symétriquement les valeurs avant de les placer dans localStorage. Vous pouvez également générer une clé unique par client en fonction de certains aspects uniques de sa machine/navigateur/etc.

Answer 2

Le problème avec la demande d'une clé est que cela signifie que vous devrez vous avertir chaque fois au démarrage (si vous stockez la clé, vous avez le même problème). Cela peut être un bon compromis si ce que vous protégez est particulièrement sensible. En général, Chrome adopte la philosophie de faire confiance au système d'exploitation pour protéger le profil de l'utilisateur où ces données sont stockées, donc si vous utilisez le stockage local pour stocker les mots de passe, ce n'est pas différent de ce que fait Chrome aujourd'hui. histoire, etc