หลักฐานว่าเบราว์เซอร์ของคุณไม่ใช่ห้องนิรภัย

Chrome (และเบราว์เซอร์ที่ใช้ Chromium ทุกตัว)

Chrome จัดเก็บข้อมูลการเข้าสู่ระบบในฐานข้อมูล SQLite — Login Data, ตาราง logins, คอลัมน์ password_value — ซึ่งเข้ารหัสด้วย AES-256-GCM คีย์ AES จะอยู่ใน Local State และ "ได้รับการปกป้อง" โดย OS: DPAPI บน Windows, พวงกุญแจเข้าสู่ระบบบน macOS, gnome-keyring/kwallet (หรือข้อความธรรมดา) บน Linux

อ่านได้ด้วยตัวคุณเอง โค้ดนั้นเปิดอยู่ ค้นหา Chromium สำหรับค่าคงที่ที่แท็กคีย์ที่ถูกห่อหุ้ม: kDPAPIKeyPrefix ใน os_crypt คีย์ถูกห่อหุ้มด้วย DPAPI แท็ก และจัดเก็บไว้ จากนั้นจึงถูกคลายห่อด้วยการเรียกใช้เพียงครั้งเดียวซึ่งไม่ได้ปกป้องอะไรจาก คุณ เลย:

const char kDPAPIKeyPrefix[] = "DPAPI";

CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
                   /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);

ไม่มีความลับที่สอง ไม่มีรหัสผ่าน ไม่มีการแจ้งเตือน CryptUnprotectData จะส่งมอบคีย์คืนให้กับกระบวนการใดๆ ที่ทำงานในเซสชันของคุณ ซึ่งตรงกับรูปแบบภัยคุกคามที่เอกสาร DPAPI ระบุไว้ พอดี: หากมันทำงานในฐานะคุณ มันคือคุณ งานทั้งหมดของผู้โจมตีมีเพียงสามบรรทัด: อ่านคีย์จาก Local State, คลายห่อ, และถอดรหัส AES-GCM ทุกแถวใน Login Data มัลแวร์ info-stealer ทำสิ่งนี้มาหลายปีแล้ว

"การเข้ารหัสบนอุปกรณ์" ก็ไม่ได้ช่วยคุณเช่นกัน

วิธีแก้ปัญหาของ Google คือ PIN 6 หลักที่เข้ารหัสห้องนิรภัยที่ซิงค์ไว้ของคุณ ในเดือนพฤษภาคม 2026 นักวิจัยที่ Phishu ได้แสดงให้เห็นว่ามันเปราะบางเพียงใด การปลอมหน้าเข้าสู่ระบบ Google ที่แนบเนียน — การฟิชชิงแบบ adversary-in-the-middle — จะดักจับเซสชันและ PIN นั้น และ PIN นั้นคือคีย์หลักสำหรับรหัสผ่านและพาสคีย์ทุกชุดในบัญชีที่ซิงค์ไว้ ด้วยสิ่งนี้ ผู้โจมตีสามารถเพิ่มอุปกรณ์ของตนเองลงใน "โดเมนความปลอดภัย" ของ Google ของคุณ และห้องนิรภัยทั้งหมดจะถูกซิงค์ไปยังพวกเขาโดยตรง เข้าควบคุมทั้งหมดในขั้นตอนเดียว

ข้อบกพร่องในการออกแบบ: Google อนุญาตให้อุปกรณ์เข้าร่วมโดยใช้เพียง PIN 6 หลัก โดยไม่จำเป็นต้องได้รับการอนุมัติจากอุปกรณ์ที่คุณเป็นเจ้าของอยู่แล้ว

Firefox

Firefox เก็บข้อมูลการเข้าสู่ระบบใน logins.json และคีย์ใน key4.db ซึ่งถอดรหัสโดย "Secret Decoder Ring" ของ NSS — ซึ่งเป็นโอเพนซอร์สเช่นกัน: security/nss/lib/pk11wrap/pk11sdr.c หากคุณตั้งค่ารหัสผ่านหลัก คีย์จะถูกปิดผนึกด้วยรหัสนั้น

ตามค่าเริ่มต้น คุณไม่ได้ตั้งค่าไว้ คีย์จึงถูกปิดผนึกด้วยสตริงว่าง และค่า "password-check" ที่เก็บไว้จะยืนยันว่ารหัสผ่านที่ว่างเปล่าสามารถถอดรหัสมันได้ คัดลอกสองไฟล์ออกจากโปรไฟล์ของคุณ (key4.db + logins.json) ชี้ NSS หรือ firepwd.py แบบโอเพนซอร์สไปที่ไฟล์เหล่านั้น แล้วพวกมันก็จะถูกถอดรหัส ตัวล็อกที่แปะกุญแจติดไว้ที่ประตูก็ไม่ใช่ตัวล็อก