Windows剪贴板的安全性如何？

我一直使用Windows剪贴板作为将密码从Lastpass获取到桌面应用程序的方法。

我一直在想这到底有多安全？任何程序都无法随时访问剪贴板吗？

windows security clipboard

— 基里
source

我记得在某些（旧）版本的IE（可能是IE6）中默认启用了剪贴板访问功能。我发现此链接在MS每次网站尝试访问剪贴板时都会在其上放置一个警告窗口，但看起来它早就不在了。因此，如果您使用IE <= 6（不是，不是吗？），您可能会面临额外的风险。

— 卡洛斯·坎德罗斯2015年

在办公室环境中在旧的共享VMWare Player上运行剪贴板会显示有关您同事的许多有趣信息。在回覆以前工作的人时，我总是必须小心，因为如果我剪切并粘贴到老板的剪贴板中，很有可能会发生。

— 彼得·特纳

@CarlosCampderrós我认为Flash仍然允许这样做。

— CodesInChaos

KeePass在“内存”设置中有一个选项：“剪贴板行为：增强：允许粘贴一次并防止剪贴板间谍”

— DBedrenko

superuser.com/questions/412083/...

— 随机

Answers:

这是不安全的。

请在以下引用的Security.stackechange.com上查看此问题和答案：

Windows剪贴板是不是安全。

这是MSDN文章的引文。

剪贴板可用于存储数据，例如文本和图像。由于剪贴板由所有活动进程共享，因此可用于在它们之间传输数据。

这可能也应适用于Linux机器。

这是一个问题吗？不能。要使某人利用此漏洞，他必须在您的计算机上装有能够从剪贴板读取数据的恶意软件。如果他具有在您的计算机上感染恶意软件的能力，那么您还有很多事情要担心，因为他还可以做很多其他事情，包括键盘记录程序等。

— 凯尔塔里
source

正如Keltari解释的那样，虽然读取剪贴板中的数据很简单，但首先要注意的是您有恶意软件正在读取剪贴板。这就是将密码复制并粘贴到密码字段中并不会影响密码安全的原因，这样做的能力就是说服您不要键入20到30个字符的安全随机密码。

— Ramhound

当然，与读取浏览器进程或读取另一个进程的内存或安装钩子进行捕获的恶意软件相比，读取剪贴板的恶意软件（完全嵌入网页中的“合法” JavaScript片段）的阈值要低得多。按键等

— Damon 2015年

@Damon据我所知，正是出于这个原因，JS没有随机访问剪贴板的权限。

— 上校32年

@Damon 根据MDN的规定，该应用程序需要具有使用粘贴命令的权限，因此随机页面无法使用该命令嗅探剪贴板。

— 三十二上校

@zzzzBov-什么会阻止某人在Javascript中添加一个标题为“ Free Money-Click Here！”的按钮，但是该按钮实际上是复制剪贴板而不是免费给您钱？

— Yay295 2015年

请记住，不仅是可以访问剪贴板的应用程序，而且实际上还可能想要获取剪贴板的不仅是恶意软件。

还有一些用户在对计算机进行物理访问后可能会意外或有意显示剪贴板的内容。当然，他们无论如何都会造成很大的伤害，但是很难获得实际的密码（而不仅仅是访问网站/程序）（除非您将其保存在剪贴板中...）

因此，请确保已清除剪贴板（由于某些应用程序再次允许检索旧的剪贴板值，所以剪贴板不是100％可靠），或者使用某种加密方式（这并非易事，但即使是简单的加密方法也可以防止意外的密码泄漏）

— 米库斯
source

加密对此无济于事。攻击并不针对剪贴板（或剪贴板历史记录）存储在内存中。攻击是使用标准剪贴板API（正在运行的程序正在读取剪贴板的内容，或另一个获得临时访问权并启动粘贴的用户）来检索剪贴板的内容。。

— 彼得·科德斯

不完全是Peter，我们不知道原始解决方案的体系结构，但是如果您的应用程序首先将内容放在剪贴板中，然后再对其进行检索，则它可以以本身只能理解的方式修改数据。因此，当某人或什至您与某人不经意间露出内容时，尚不清楚里面是什么以及如何使用它。我认为以任何方式透露纯文本密码都是可能的最高安全漏洞。老实说，我永远不会考虑将其复制到剪贴板或文本文件，etx。应用之间有更好的通信方式：）

— mikus

@mikus虽然为true，但这通常不是剪贴板的工作方式。剪贴板实际上仅对将内容从一个应用程序共享到另一个应用程序有用。单个应用程序也可以只将加密的内容存储在内存中以供以后检索，并且完全避免使用剪贴板。

— 2015年

确实，我从未说过，但是，只要我不认为像LastPass这样的商业应用程序会在剪贴板中留下任何东西，我想作者就可以控制这两个应用程序。然后，他可以选择所需的任何编码或加密，对吗？以及其他通信方法：）如果lastpass将明文密码保存在剪贴板中，则使用IMO的应用不合适。

— mikus

大家都同意，剪贴板通常是不安全的。因此，后续问题很明显：如何从密码管理器中获取复杂的密码/口令到需要它们的地方，而不会一路暴露它们。

寻找一个密码管理器，该管理器可以选择“在您单击的下一个窗口中输入密码”或类似的选项。我不知道任何示例，因为我对大多数密码都不那么偏执。（实际上，我记住了我使用的极少数高安全性密码，例如GPG私钥。）

社区Wiki：编辑具有此功能的程序的名称：

KeePassX

我的KeepassX版本为0.4.3，可在X秒后清除剪贴板（默认为20，但可以使用8）

— Peter Cordes
source