प्रमाण कि आपका ब्राउज़र वॉल्ट नहीं है।

Chrome (और हर Chromium ब्राउज़र)

Chrome लॉगिन को एक SQLite डेटाबेस में स्टोर करता है — Login Data, टेबल logins, कॉलम password_value — जो AES-256-GCM के साथ एन्क्रिप्ट किया गया होता है। AES कुंजी Local State में होती है, जो OS द्वारा "सुरक्षित" होती है: Windows पर DPAPI, macOS पर लॉगिन Keychain, Linux पर gnome-keyring/kwallet (या प्लेनटेक्स्ट)।

इसे स्वयं पढ़ें — कोड ओपन है। रैप्ड कुंजी को टैग करने वाले कॉन्स्टेंट के लिए Chromium खोजें: kDPAPIKeyPrefix in os_crypt। कुंजी DPAPI-रैप्ड, टैग की गई और स्टोर की जाती है — और फिर एक ही कॉल से अनरैप कर दी जाती है जो आपसे कुछ भी सुरक्षित नहीं रखती:

const char kDPAPIKeyPrefix[] = "DPAPI";

CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
                   /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);

न कोई दूसरा सीक्रेट, न कोई पासवर्ड, न कोई प्रॉम्प्ट। CryptUnprotectData कुंजी को आपके सेशन में चल रही किसी भी प्रोसेस को वापस सौंप देता है — जो बिल्कुल वही थ्रेट मॉडल है जिसे DPAPI डॉक्यूमेंट करता है: यदि यह आपकी ओर से चलता है, तो यह आप ही हैं। हमलावर का पूरा काम तीन लाइनों का है: Local State से कुंजी पढ़ें, इसे अनरैप करें, Login Data की हर पंक्ति को AES-GCM-डिक्रिप्ट करें। Info-stealer मैलवेयर वर्षों से बिल्कुल यही कर रहा है।

"ऑन-डिवाइस एन्क्रिप्शन" भी आपको नहीं बचाता

Google का जवाब एक 6-अंकीय PIN है जो आपके सिंक किए गए वॉल्ट को एन्क्रिप्ट करता है। मई 2026 में, Phishu के शोधकर्ताओं ने दिखाया कि यह कितना कमज़ोर है। एक यथार्थवादी नकली Google साइन-इन — एडवर्सरी-इन-द-मिडल फ़िशिंग — सेशन और उस PIN को कैप्चर कर लेता है, और वह PIN सिंक किए गए अकाउंट में हर पासवर्ड और पासकी की मास्टर कुंजी होता है। इसके साथ, एक हमलावर अपने डिवाइस को आपके Google "सुरक्षा डोमेन" से जोड़ लेता है और पूरा वॉल्ट सीधे उनके पास सिंक हो जाता है — एक ही कदम में पूर्ण नियंत्रण।

डिज़ाइन की खामी: Google किसी डिवाइस को केवल 6-अंकीय PIN के आधार पर जुड़ने देता है, बिना आपके पास पहले से मौजूद किसी डिवाइस की मंज़ूरी के।

Firefox

Firefox लॉगिन को logins.json में और कुंजी को key4.db में रखता है, जिसे NSS के "Secret Decoder Ring" द्वारा डिक्रिप्ट किया जाता है — जो कि ओपन सोर्स भी है: security/nss/lib/pk11wrap/pk11sdr.c। यदि आप एक Primary Password सेट करते हैं, तो कुंजी उसके साथ सील कर दी जाती है।

डिफ़ॉल्ट रूप से, आपने ऐसा नहीं किया होता — इसलिए कुंजी खाली स्ट्रिंग के साथ सील होती है, और एक स्टोर किया गया "password-check" मान पुष्टि करता है कि खाली पासवर्ड इसे डिक्रिप्ट करता है। अपनी प्रोफ़ाइल से दो फ़ाइलें कॉपी करें (key4.db + logins.json), NSS या ओपन-सोर्स firepwd.py को उन पर पॉइंट करें, और वे डिक्रिप्ट हो जाती हैं। जिस लॉक की कुंजी दरवाज़े पर टेप से चिपकी हो, वह लॉक नहीं होता।