--- title: "Bevis at din browser ikke er en boks" description: "Chrome og Firefox vil give dine gemte loginoplysninger til ethvert program, der kører som dig. Her er beviset — på almindeligt dansk og i kode — og hvorfor Clavitors boks ikke kan læses på samme måde." lang: da url: https://clavitor.ai/da/security/browsers markdown: https://clavitor.ai/da/security/browsers.md translation_of: https://clavitor.ai/en/security/browsers.md authoritative: false publisher: Clavitor LLC --- > This is the Danish translation of [Proof your browser isn't a vault](https://clavitor.ai/en/security/browsers.md). The original English text is authoritative; where the two differ, the English version prevails. # Sikkerhed: Bevis at din browser ikke er en boks. Chrome og Firefox gemmer dine loginoplysninger — og giver dem derefter til ethvert program, der kører som dig. Det er ikke en fejl. Det er designet. Her er beviset: én gang på almindeligt dansk, én gang i kode. ## Versionen på almindeligt dansk Din browsers "adgangskodehåndtering" er beskyttet af præcis én lås: din computers login. Når du er logget ind på din bærbare computer, kan browseren læse alle gemte loginoplysninger øjeblikkeligt — så alt andet, der kører på din konto, kan det også. En dårlig download. Et mistænkeligt browser-spil. En forgiftet pakke i et projekt, du har klonet. I det øjeblik det kører — mens du er logget ind, som du altid er — læser det alle loginoplysninger, din browser har gemt, på den tid det tager at åbne en fil. Der er ingen master-adgangskode at knække, fordi der ikke er noget at knække: browseren blev bygget til at låse op for dig automatisk, og malwaren beder bare pænt som "dig". Dette er ikke teoretisk. Det er den mest almindelige måde, almindelige mennesker mister deres konti på. Malwaren har endda et kedeligt branche-navn — "info-stealere" — fordi det er så rutinemæssigt. Dine loginoplysninger, dine gemte kort, dine sessionscookies: kopieret og væk, før du opdager det. Løsningen er enkel at formulere: dine loginoplysninger skal låses med noget, som resten af din computer ikke har — og de skal slet ikke ligge på maskinen. ## Versionen med kvitteringer Tro ikke kun på vores ord. Chromium og Firefox er open source, og læse-stien er dokumenteret, standard og kort. Her er præcis, hvor loginoplysningerne er, og hvordan de kommer ud. #### Chrome (og enhver Chromium-browser) Chrome gemmer logins i en SQLite-database — `Login Data`, tabel `logins`, kolonne `password_value` — krypteret med AES-256-GCM. AES-nøglen ligger i `Local State`, "beskyttet" af OS'et: DPAPI på Windows, login Keychain på macOS, gnome-keyring/kwallet (eller klartekst) på Linux. Læs det selv — koden er åben. Søg i Chromium efter konstanten, der tagger den indpakkede nøgle: [`kDPAPIKeyPrefix` i `os_crypt`](https://source.chromium.org/search?q=kDPAPIKeyPrefix%20file:os_crypt). Nøglen er DPAPI-indpakket, tagget og gemt — derefter udpakket med et enkelt kald, der ikke beskytter noget mod *dig*: ``` const char kDPAPIKeyPrefix[] = "DPAPI"; CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr, /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output); ``` Ingen anden hemmelighed, ingen adgangskode, ingen prompt. `CryptUnprotectData` giver nøglen tilbage til enhver proces, der kører i din session — hvilket præcis er [trusselsmodellen, DPAPI dokumenterer](https://learn.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptunprotectdata): hvis den kører som dig, *er* den dig. Angriberens hele job er tre linjer: læs nøglen fra `Local State`, udpak den, AES-GCM-dekrypter hver række i `Login Data`. Info-stealer malware har gjort præcis dette i årevis. #### "On-device kryptering" redder dig heller ikke Googles svar er en 6-cifret PIN-kode, der krypterer din synkroniserede boks. I maj 2026 viste forskere hos Phishu, hvor tyndt det er. Et overbevisende falsk Google-login — adversary-in-the-middle phishing — fanger sessionen og den PIN-kode, og PIN-koden *er* master-nøglen til enhver loginoplysning og passkey i den synkroniserede konto. Med den tilføjer en angriber deres egen enhed til dit Google "sikkerhedsdomæne", og hele boksen synkroniseres direkte til dem — fuldstændig overtagelse i ét trin. Designfejlen: Google lader en enhed tilslutte sig alene med 6-cifret PIN-kode, uden godkendelse fra en enhed, du allerede ejer. [VaultJacking — GBHackers, maj 2026](https://gbhackers.com/google-password-vaults-via-single-pin/) #### Firefox Firefox gemmer logins i `logins.json` og nøglen i `key4.db`, dekrypteret af NSS's "Secret Decoder Ring" — også open source: [`security/nss/lib/pk11wrap/pk11sdr.c`](https://searchfox.org/firefox-main/source/security/nss/lib/pk11wrap/pk11sdr.c). Hvis du indstiller en [Primær adgangskode](https://support.mozilla.org/en-US/kb/use-primary-password-protect-stored-logins), er nøglen forseglet med den. Som standard har du ikke — så nøglen er forseglet med den tomme streng, og en gemt "password-check" værdi bekræfter, at den tomme adgangskode dekrypterer den. Kopier to filer ud af din profil (`key4.db` + `logins.json`), peg NSS eller den open source `firepwd.py` på dem, og de dekrypteres. En lås, hvis nøgle er tapet fast til døren, er ikke en lås. ## The common thread Hvert browser-loginlager har samme form: hemmeligheden ligger, hvor du arbejder, ulåst af den session, du allerede er i. Kryptering, som resten af din egen computer kan ophæve, beskytter dig ikke mod den trussel, der rent faktisk tømmer konti — kode, der kører som dig. ## Hvorfor Clavitor ikke kan læses på denne måde Clavitor gemmer ikke din boks på maskinen. Der er ingen `Login Data`, ingen `key4.db`, ingen nøgle i `Local State` — intet på disken, som en proces, der kører som dig, kan skrabe. Dekrypteringsnøglen er ikke forseglet med dit OS-login. Den udledes fra et hardware-tap — Touch ID, Face eller en YubiKey — beregnet i browseren, brugt til en enkelt anmodning, derefter kasseret. En loginoplysning hentes over en scoped API præcis, når du beder om den, og caches aldrig. Malware, der kører som dig, finder et tomt skab. Det er forskellen mellem "krypteret på din enhed" og "slet ikke på din enhed". [Hvordan Clavitor krypterer, i fuld detalje](https://clavitor.ai/da/security) ## Stop med at stole på browseren med dine loginoplysninger. Clavitor-udvidelsen udfylder som din browser — og gemmer boksen et sted, din bærbare computer ikke kan læse den. [Installer fra Chrome Web Store](https://chromewebstore.google.com/detail/clavitor/ddbhcfcclgjplbibgcphifegjadnmfpf) [Læs sikkerhedsmodellen](https://clavitor.ai/da/security)