Propozycja przeglądarki, o którą pyta przy każdym logowaniu – „Zapisz dane do logowania” – wszystko bez instalowania czegokolwiek dodatkowego. Z pozoru wygodne, dostępne od ręki i wystarczające.
Tylko, że przeglądarka to narzędzie zaprojektowane do przeglądania stron internetowych, a nie do bezpiecznego przechowywania danych dostępowych. Fakt, że obsługuje dwa procesy nie oznacza, że oba realizuje równie dobrze.
Przeczytaj, jak działa wbudowany w przeglądarce “menedżer haseł”, gdzie kończy się jego bezpieczeństwo i czym pod względem architektury i funkcjonalności różni się od dedykowanego rozwiązania.
Jak przeglądarka zapisuje Twoje hasła?
Zanim ocenimy poziom bezpieczeństwa, warto zrozumieć co faktycznie dzieje się z hasłem w momencie, gdy klikasz „Zapisz” w okienku przeglądarki.
Szyfrowanie lokalne vs. synchronizacja z kontem Google, Apple lub Microsoft
Klasycznie przeglądarka zapisuje hasło lokalnie, na dysku Twojego urządzenia, w zaszyfrowanym pliku. Dla przykładu – Chrome korzysta z mechanizmów szyfrowania systemu operacyjnego, na Windows jest to DPAPI (Data Protection API), na macOS – Keychain. Te rozwiązania zapewniają pewną warstwę ochrony.
W praktyce większość użytkowników jest zalogowana do konta Google, Apple ID lub konta Microsoft – i właśnie tam domyślnie trafia kopia ich haseł. Synchronizacja między urządzeniami jest wygodna, ale oznacza, że hasła opuszczają urządzenie i są przechowywane na serwerach dostawcy przeglądarki.
Kto trzyma klucz szyfrowania
To właśnie w tym miejscu ujawnia się główna różnica architektoniczna. W domyślnej konfiguracji Chrome, a podobnie działa to w Edge i wielu innych przeglądarkach – klucz szyfrowania danych jest powiązany z kontem Google użytkownika. Oznacza to, że Google posiada techniczne możliwości odszyfrowania tych danych. To zaprzecza architekturze zero-knowledge.
Innymi słowy: Twoje hasła są zaszyfrowane, ale nie tylko Ty masz dostęp do klucza, który je odszyfruje.
Lokalne szyfrowanie, dlaczego większość go nie używa
Chrome oferuje możliwość włączenia tzw. szyfrowania po stronie klienta z własnym hasłem (opcja „Szyfruj hasła za pomocą hasła synchronizacji”). Włączenie jej sprawia, że dane są zabezpieczane lokalnie przed synchronizacją – bez dostępu ze strony Google. Technicznie to bezpieczniejsza opcja.
Funkcja jest ukryta głęboko w ustawieniach, wymaga oddzielnej konfiguracji i jest wyłączona domyślnie. Tym samym zdecydowana większość użytkowników nigdy jej nie aktywuje…
Gdzie kończy się ochrona przeglądarki - poznaj ryzyka
Szyfrowanie to nie jedyna warstwa bezpieczeństwa i to nie ona jest najczęściej krytycznym punktem awarii. Poniżej znajdziesz scenariusze, w których wbudowany menedżer przeglądarki zawodzi.
Złośliwe oprogramowanie
Infostealery to kategoria złośliwego oprogramowania zaprojektowanego specjalnie do kradzieży danych z przeglądarek. Działają na poziomie systemu operacyjnego, omijając szyfrowanie przeglądarki, ponieważ uzyskują dostęp do danych już po ich odszyfrowaniu przez system. Według danych firmy KELA Cybersecurity, w samym 2024 roku z urządzeń użytkowników wykradziono w ten sposób blisko 3,9 miliarda rekordów danych logowania.
Scenariusz jest prosty: użytkownik pobiera pozornie niegroźną aplikację lub otwiera zainfekowany plik. Infostealer uruchamia się w tle, wyciąga wszystkie hasła zapisane w przeglądarce – hasło do banku, skrzynki e-mail, sklepu internetowego i wysyła je na serwer atakującego.
Fizyczny dostęp do odblokowanego urządzenia
Na odblokowanym laptopie lub smartfonie hasła zapisane w przeglądarce są dostępne bez dodatkowej weryfikacji. W Chrome wystarczy wejść w ustawienia → Hasła, by zobaczyć pełną listę zapisanych danych, a po kliknięciu „Pokaż” — odsłonić konkretne hasło. System nie pyta o dodatkowe potwierdzenie tożsamości.
Każda osoba, która przez kilka minut uzyska dostęp do odblokowanego urządzenia -współpracownik, znajomy, osoba postronna w kawiarni, może swobodnie przeglądać i kopiować zapisane dane logowania.
Brak izolacji od ekosystemu przeglądarki
Przeglądarka to środowisko, które stale przetwarza zewnętrzne treści: strony internetowe, rozszerzenia, skrypty JavaScript. Luka w jednym z zainstalowanych rozszerzeń, złośliwy skrypt na odwiedzanej stronie lub skompromitowany profil przeglądarki. Każdy z tych wektorów może uzyskać dostęp do danych przechowywanych w tym samym środowisku. Dedykowany menedżer haseł to odrębna, izolowana aplikacja, poza zasięgiem ekosystemu przeglądarki.
Co oferuje dedykowany menedżer haseł i czym różni się architektonicznie
Dedykowany menedżer haseł, taki jak perc.pass, jest zaprojektowany od podstaw z myślą o jednym zadaniu: bezpiecznym przechowywaniu i zarządzaniu danymi logowania. To różnica nie tylko funkcjonalna, ale przede wszystkim architektoniczna.
Zero-knowledge: szyfrowanie po stronie urządzenia, klucz wyłącznie u użytkownika
W modelu zero-knowledge szyfrowanie danych odbywa się lokalnie, na urządzeniu użytkownika jeszcze zanim jakiekolwiek informacje trafią do chmury. Klucz szyfrowania jest pochodną hasła głównego użytkownika. Dostawca usługi nigdy go nie zna, nie przechowuje i nie może odtworzyć.
W przypadku naruszenia bezpieczeństwa po stronie dostawcy, atakujący uzyskuje jedynie zaszyfrowany ciąg danych – bezużyteczny bez klucza, którego nie ma.
Brak uzależnienia od ekosystemu i producenta
Dedykowany menedżer haseł działa niezależnie od przeglądarki i systemu operacyjnego. Te same dane są dostępne w Chrome, Safari, Firefox i Edge, na Windows, macOS, iOS i Androidzie – z jednego konta, z jednym hasłem głównym. Zmiana urządzenia, przeglądarki lub systemu nie wymaga żadnej migracji danych.
Dodatkowe warstwy funkcjonalne
Poza samym przechowywaniem haseł, dedykowane rozwiązania oferują mechanizmy, których przeglądarki nie zapewniają:
- Generator silnych haseł — tworzy unikalne, losowe hasła przy każdej rejestracji, bez konieczności wymyślania ich samodzielnie
- Alerty o wyciekach — informuje, gdy dane logowania z konkretnego serwisu pojawiły się w znanych bazach skompromitowanych danych
- Uwierzytelnianie dwuskładnikowe (2FA) — dodatkowa warstwa ochrony samego menedżera haseł
przeglądarka vs. perc.pass
| Funkcja | Przeglądarka (Chrome/Safari) | perc.pass |
|---|---|---|
| Szyfrowanie lokalne | ||
| Model zero-knowledge | Wymaga konfiguracji | Domyślnie |
| Klucz szyfrowania u użytkownika | Wymaga konfiguracji | Zawsze |
| Wieloplatformowość | Tylko w ekosystemie dostawcy | Każda przeglądarka i system |
| Generator haseł | Podstawowy | Pełny |
| Audyt siły haseł | Brak lub ograniczony | Tak |
| Alerty o wyciekach | Częściowo | Tak |
| Izolacja od przeglądarki | Nie | Tak |