Sikkerhed

Bevis at din browser ikke er en boks.

Chrome og Firefox gemmer dine loginoplysninger — og giver dem derefter til ethvert program, der kører som dig. Det er ikke en fejl. Det er designet. Her er beviset: én gang på almindeligt dansk, én gang i kode.

Versionen på almindeligt dansk

Din browsers "adgangskodehåndtering" er beskyttet af præcis én lås: din computers login. Når du er logget ind på din bærbare computer, kan browseren læse alle gemte loginoplysninger øjeblikkeligt — så alt andet, der kører på din konto, kan det også.

En dårlig download. Et mistænkeligt browser-spil. En forgiftet pakke i et projekt, du har klonet. I det øjeblik det kører — mens du er logget ind, som du altid er — læser det alle loginoplysninger, din browser har gemt, på den tid det tager at åbne en fil. Der er ingen master-adgangskode at knække, fordi der ikke er noget at knække: browseren blev bygget til at låse op for dig automatisk, og malwaren beder bare pænt som "dig".

Dette er ikke teoretisk. Det er den mest almindelige måde, almindelige mennesker mister deres konti på. Malwaren har endda et kedeligt branche-navn — "info-stealere" — fordi det er så rutinemæssigt. Dine loginoplysninger, dine gemte kort, dine sessionscookies: kopieret og væk, før du opdager det.

Løsningen er enkel at formulere: dine loginoplysninger skal låses med noget, som resten af din computer ikke har — og de skal slet ikke ligge på maskinen.

Versionen med kvitteringer

Tro ikke kun på vores ord. Chromium og Firefox er open source, og læse-stien er dokumenteret, standard og kort. Her er præcis, hvor loginoplysningerne er, og hvordan de kommer ud.

Chrome (og enhver Chromium-browser)

Chrome gemmer logins i en SQLite-database — Login Data, tabel logins, kolonne password_value — krypteret med AES-256-GCM. AES-nøglen ligger i Local State, "beskyttet" af OS'et: DPAPI på Windows, login Keychain på macOS, gnome-keyring/kwallet (eller klartekst) på Linux.

Læs det selv — koden er åben. Søg i Chromium efter konstanten, der tagger den indpakkede nøgle: kDPAPIKeyPrefix i os_crypt. Nøglen er DPAPI-indpakket, tagget og gemt — derefter udpakket med et enkelt kald, der ikke beskytter noget mod dig:

const char kDPAPIKeyPrefix[] = "DPAPI";

CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
                   /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);

Ingen anden hemmelighed, ingen adgangskode, ingen prompt. CryptUnprotectData giver nøglen tilbage til enhver proces, der kører i din session — hvilket præcis er trusselsmodellen, DPAPI dokumenterer: hvis den kører som dig, er den dig. Angriberens hele job er tre linjer: læs nøglen fra Local State, udpak den, AES-GCM-dekrypter hver række i Login Data. Info-stealer malware har gjort præcis dette i årevis.

"On-device kryptering" redder dig heller ikke

Googles svar er en 6-cifret PIN-kode, der krypterer din synkroniserede boks. I maj 2026 viste forskere hos Phishu, hvor tyndt det er. Et overbevisende falsk Google-login — adversary-in-the-middle phishing — fanger sessionen og den PIN-kode, og PIN-koden er master-nøglen til enhver loginoplysning og passkey i den synkroniserede konto. Med den tilføjer en angriber deres egen enhed til dit Google "sikkerhedsdomæne", og hele boksen synkroniseres direkte til dem — fuldstændig overtagelse i ét trin.

Designfejlen: Google lader en enhed tilslutte sig alene med 6-cifret PIN-kode, uden godkendelse fra en enhed, du allerede ejer.

VaultJacking — GBHackers, maj 2026

Firefox

Firefox gemmer logins i logins.json og nøglen i key4.db, dekrypteret af NSS's "Secret Decoder Ring" — også open source: security/nss/lib/pk11wrap/pk11sdr.c. Hvis du indstiller en Primær adgangskode, er nøglen forseglet med den.

Som standard har du ikke — så nøglen er forseglet med den tomme streng, og en gemt "password-check" værdi bekræfter, at den tomme adgangskode dekrypterer den. Kopier to filer ud af din profil (key4.db + logins.json), peg NSS eller den open source firepwd.py på dem, og de dekrypteres. En lås, hvis nøgle er tapet fast til døren, er ikke en lås.

The common thread

Hvert browser-loginlager har samme form: hemmeligheden ligger, hvor du arbejder, ulåst af den session, du allerede er i. Kryptering, som resten af din egen computer kan ophæve, beskytter dig ikke mod den trussel, der rent faktisk tømmer konti — kode, der kører som dig.

Hvorfor Clavitor ikke kan læses på denne måde

Clavitor gemmer ikke din boks på maskinen. Der er ingen Login Data, ingen key4.db, ingen nøgle i Local State — intet på disken, som en proces, der kører som dig, kan skrabe.

Dekrypteringsnøglen er ikke forseglet med dit OS-login. Den udledes fra et hardware-tap — Touch ID, Face eller en YubiKey — beregnet i browseren, brugt til en enkelt anmodning, derefter kasseret. En loginoplysning hentes over en scoped API præcis, når du beder om den, og caches aldrig. Malware, der kører som dig, finder et tomt skab.

Det er forskellen mellem "krypteret på din enhed" og "slet ikke på din enhed".

Hvordan Clavitor krypterer, i fuld detalje

Stop med at stole på browseren med dine loginoplysninger.

Clavitor-udvidelsen udfylder som din browser — og gemmer boksen et sted, din bærbare computer ikke kan læse den.

Installer fra Chrome Web Store Læs sikkerhedsmodellen