我了解 Chrome 使用操作系统的密码存储机制来保护您计算机上的密码。1 我还了解，这些密码可以（在我的情况下）使用我选择的密码进行保护，以便在云中同步它们。
当我退出本地 Linux/Windows 帐户时，我的密码是否安全？
Linux 2和 Windows 3上都存在清除/更改用户帐户密码的方法。攻击者可以简单地重置我的本地帐户密码、登录它、打开 Chrome 并能够使用我的密码吗？或者操作系统密码保护机制是否可以防止这种情况发生？
有几个来源表明 Keyring / Windows DPAPI 从您的帐户密码派生密码存储解密密钥。4
谷歌浏览器“会话”是否以同样的方式受到保护？
我只是犹豫“相信”一切都是安全的，而不了解引擎盖下发生了什么。
如果 Chrome 会要求我提供主密码会感觉很好，但他们不想实现该功能。5我可以接受，只要我知道我的数据受我的操作系统帐户登录保护。
如果密码存储密钥是从帐户密码派生的，则无法通过强制重置帐户密码来获得访问权限。发生这种情况时，密码存储使用从密码派生的密钥进行加密。解密需要密码；密码不仅用于告诉操作系统您有权查看它（就像普通文件权限一样），它是解密存储的唯一方法，因为解密密钥不会存储在磁盘上的任何位置（它会在任何时候重新派生你输入你的密码）。这是加密和访问控制之间的最大区别：访问控制通常可以被绕过，因为它依赖于操作系统让您访问或不让您访问，但加密不能，因为获取数据的唯一方法是通过仅在用户的头部。
操作系统不知道您的密码：它存储密码的哈希值，但不存储密码，也不存储密钥。以任何方式访问您帐户的人（除了输入您的密码）无法解密密码存储。这包括重置密码。如果您正常更改它，操作系统可以使用您的旧存储（您提供用于登录或提供用于更改密码）解密存储，并使用新存储重新加密。如果您使用密码重置工具更改它，操作系统所做的是覆盖密码哈希，但它无法解密存储以重新加密它。它有时会保留旧密码，以防用户知道他们的密码但由于某种原因不得不重置密码（在这种情况下，他们可以在下次登录帐户时输入密码以更改加密密钥），