Sikkerhet

Bevis at nettleseren din ikke er et hvelv.

Chrome og Firefox vil lagre passordene dine — og deretter gi dem til ethvert program som kjører som deg. Det er ikke en feil. Det er designet. Her er beviset: én gang på enkelt norsk, én gang i kode.

Versjonen på enkelt norsk

Nettleserens "passordadministrator" er beskyttet av nøyaktig én lås: datamaskinens pålogging. Når du er logget inn på laptopen din, kan nettleseren lese hvert lagrede passord umiddelbart — så alt annet som kjører på kontoen din kan også gjøre det.

En dårlig nedlasting. Et mistenkelig nettleserspill. Én forgiftet pakke i et prosjekt du klonet. I det øyeblikket det kjører — mens du er logget inn, som du alltid er — leser det alle passordene nettleseren din lagret, på den tiden det tar å åpne en fil. Det er ingen hovedpassord å knekke, fordi det ikke er noe å knekke: nettleseren ble bygget for å låse opp for deg automatisk, og skadevaren ber bare pent som "deg".

Dette er ikke teoretisk. Det er den vanligste måten vanlige folk mister kontoene sine på. Skadevaren har til og med et kjedelig bransjenavn — "info-stealers" — fordi det er så rutinemessig. Passordene dine, lagrede kortene dine, sesjonskapslene dine: kopiert og borte før du merker det.

Løsningen er enkel å si: passordene dine bør låses med noe resten av datamaskinen ikke har — og de bør ikke ligge på maskinen i det hele tatt.

Versjonen med kvitteringer

Ikke ta vårt ord for det. Chromium og Firefox er åpen kildekode, og lesebanen er dokumentert, standard og kort. Her er nøyaktig hvor passordene er og hvordan de kommer ut.

Chrome (og alle Chromium-nettlesere)

Chrome lagrer pålogginger i en SQLite-database — Login Data, tabell logins, kolonne password_value — kryptert med AES-256-GCM. AES-nøkkelen ligger i Local State, "beskyttet" av operativsystemet: DPAPI på Windows, påloggingens nøkkelring på macOS, gnome-keyring/kwallet (eller ren tekst) på Linux.

Les det selv — koden er åpen. Søk i Chromium etter konstanten som merker den innpakkede nøkkelen: kDPAPIKeyPrefix i os_crypt. Nøkkelen er DPAPI-innpakket, merket og lagret — deretter pakket ut med ett enkelt kall som ikke beskytter noe fra deg:

const char kDPAPIKeyPrefix[] = "DPAPI";

CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
                   /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);

Ingen andre hemmelighet, ingen passord, ingen varsel. CryptUnprotectData leverer nøkkelen tilbake til enhver prosess som kjører i sesjonen din — noe som er nøyaktig trusselmodellen DPAPI dokumenterer: hvis den kjører som deg, er den deg. Angriperens hele jobb er tre linjer: les nøkkelen fra Local State, pakk den ut, AES-GCM-dekrypter hver rad i Login Data. Info-stealer skadevare har gjort nøyaktig dette i årevis.

"Kryptering på enheten" redder deg heller ikke

Googles svar er en 6-sifret PIN-kode som krypterer ditt synkroniserte hvelv. I mai 2026 viste forskere ved Phishu hvor tynt det er. En overbevisende falsk Google-pålogging — fiendtlig-i-midten phishing — fanger sesjonen og den PIN-koden, og PIN-koden er hovednøkkelen til hvert passord og passnøkkel i den synkroniserte kontoen. Med den legger en angriper til sin egen enhet til din Google "sikkerhetsdomene", og hele hvelvet synkroniseres rett til dem — full overtakelse i ett trinn.

Designfeilen: Google lar en enhet bli med kun på 6-sifret PIN-kode, uten godkjenning fra en enhet du allerede eier.

VaultJacking — GBHackers, mai 2026

Firefox

Firefox lagrer pålogginger i logins.json og nøkkelen i key4.db, dekryptert av NSS's "Secret Decoder Ring" — også åpen kildekode: security/nss/lib/pk11wrap/pk11sdr.c. Hvis du setter et Primærpassord, blir nøkkelen forseglet med det.

Som standard har du ikke det — så nøkkelen er forseglet med den tomme strengen, og en lagret "password-check"-verdi bekrefter at det tomme passordet dekrypterer den. Kopier to filer ut av profilen din (key4.db + logins.json), pek NSS eller den åpen kildekode firepwd.py mot dem, og de dekrypteres. En lås hvis nøkkel er teipet til døren er ikke en lås.

The common thread

Hvert nettleserpassordlager har samme form: hemmeligheten lever der du jobber, ulåst av sesjonen du allerede er i. Kryptering som resten av din egen datamaskin kan angre, beskytter deg ikke mot trusselen som faktisk tømmer kontoer — kode som kjører som deg.

Hvorfor Clavitor ikke kan leses slik

Clavitor lagrer ikke hvelvet ditt på maskinen. Det er ingen Login Data, ingen key4.db, ingen nøkkel i Local State — ingenting på disken for en prosess som kjører som deg å skrape.

Dekrypteringsnøkkelen er ikke forseglet med din OS-pålogging. Den er avledet fra et maskinvareavtrykk — Touch ID, Face, eller en YubiKey — beregnet i nettleseren, brukt for én enkelt forespørsel, deretter forkastet. En påloggingsinformasjon hentes over en avgrenset API nøyaktig når du ber om den, og caches aldri. Skadevare som kjører som deg finner et tomt skap.

Det er forskjellen mellom "kryptert på enheten din" og "ikke på enheten din i det hele tatt."

Slik krypterer Clavitor, i sin helhet

Slutt å stole på nettleseren med passordene dine.

Clavitor-utvidelsen fyller ut som nettleseren din gjør — og holder hvelvet et sted laptopen din ikke kan lese det.

Installer fra Chrome Web Store Les sikkerhetsmodellen