Güvenlik
Tarayıcınızın bir kasa olmadığının kanıtı.
Chrome ve Firefox parolalarınızı kaydedecek — ve sonra siz olarak çalışan herhangi bir programa verecektir. Bu bir hata değil. Bu tasarım. İşte kanıtı: bir kez açık dilde, bir kez kodda.
Açık dilli sürüm
Tarayıcınızın "parola yöneticisi" tam olarak tek bir kilit ile korunur: bilgisayarınızın oturum açma bilgileri. Dizüstü bilgisayarınızda oturum açtığınızda, tarayıcı kayıtlı her parolayı anında okuyabilir — bu nedenle hesabınızda çalışan başka herhangi bir şey de bunu yapabilir.
Kötü bir indirme. Şüpheli bir tarayıcı oyunu. Klonladığınız bir projedeki zehirli bir paket. Çalıştığı anda — oturumunuz açıkken, her zamanki gibi — tarayıcınızın kaydettiği her parolayı, bir dosya açmak için gereken sürede okur. Kırmak için ana parola yok, çünkü kırılacak bir şey yok: tarayıcı sizin için otomatik olarak kilidi açacak şekilde tasarlandı ve kötü amaçlı yazılım sadece "siz" olarak nazikçe soruyor.
Bu teorik değil. Sıradan insanların hesaplarını kaybetmesinin en yaygın yolu budur. Kötü amaçlı yazılımın sıkıcı bir endüstri adı bile var — "bilgi hırsızları" — çünkü bu kadar rutin. Parolalarınız, kayıtlı kartlarınız, oturum çerezleriniz: fark etmeden kopyalanıp gitmiş.
Çözüm basittir: parolalarınızın bilgisayarınızın geri kalanında olmayan bir şeyle kilitlenmesi gerekir — ve makinede hiç oturmamalıdır.
Makbuzlu sürüm
Sözümüze güvenmeyin. Chromium ve Firefox açık kaynaklıdır ve okuma yolu belgelenmiş, standart ve kısadır. Parolaların tam olarak nerede olduğunu ve nasıl çıktığını burada bulabilirsiniz.
Chrome (ve her Chromium tarayıcısı)
Chrome, oturum açma bilgilerini Login Data adlı bir SQLite veritabanında, logins tablosunda, password_value sütununda saklar — AES-256-GCM ile şifrelenmiş. AES anahtarı Local State içinde bulunur, işletim sistemi tarafından "korunur": Windows'ta DPAPI, macOS'ta oturum anahtarlığı, Linux'ta gnome-keyring/kwallet (veya düz metin).
Kendiniz okuyun — kod açık. Sarılmış anahtarı etiketleyen sabiti Chromium'da arayın: kDPAPIKeyPrefix os_crypt içinde. Anahtar DPAPI ile sarılmış, etiketlenmiş ve saklanmış — sonra hiçbir şeyi sizden korumayan tek bir çağrıyla çözülür:
const char kDPAPIKeyPrefix[] = "DPAPI";
CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
/*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);İkinci bir sır yok, parola yok, istem yok. CryptUnprotectData, anahtarı oturumunuzda çalışan herhangi bir işleme geri verir — ki bu tam olarak DPAPI'nin belgelediği tehdit modeli: siz olarak çalışıyorsa, o sizsiniz. Saldırganın tüm işi üç satırdır: anahtarı Local State'ten okuyun, çözün, Login Data'daki her satırın AES-GCM şifresini çözün. Bilgi hırsızı kötü amaçlı yazılımlar yıllardır tam olarak bunu yapıyor.
"Cihaz içi şifreleme" de sizi kurtarmaz
Google'ın yanıtı, senkronize edilmiş kasanızı şifreleyen 6 haneli bir PIN'dir. Mayıs 2026'da Phishu'daki araştırmacılar bunun ne kadar zayıf olduğunu gösterdi. İkna edici bir sahte Google oturum açma — düşman-ortasında kimlik avı — oturumu ve o PIN'i yakalar ve PIN, senkronize edilmiş hesaptaki her parola ve geçiş anahtarının anahtarı dır. Bununla bir saldırgan, kendi cihazını Google "güvenlik alanınıza" ekler ve tüm kasa doğrudan onlara senkronize olur — tek adımda tam ele geçirme.
Tasarım hatası: Google, bir cihazın yalnızca 6 haneli PIN ile, sahip olduğunuz bir cihazdan onay almadan katılmasına izin veriyor.
Firefox
Firefox, oturum açma bilgilerini logins.json'da ve anahtarı key4.db'de saklar, NSS'nin "Gizli Kod Çözücü Yüzüğü" ile çözülür — bu da açık kaynaklıdır: security/nss/lib/pk11wrap/pk11sdr.c. Bir Birincil Parola ayarlarsanız, anahtar onunla mühürlenir.
Varsayılan olarak yapmadınız — bu nedenle anahtar boş dize ile mühürlenir ve saklanan bir "parola-kontrolü" değeri, boş parolanın onu çözdüğünü doğrular. Profilinizden iki dosya kopyalayın (key4.db + logins.json), NSS'yi veya açık kaynaklı firepwd.py'yi bunlara yönlendirin ve bunlar çözülür. Anahtarı kapıya bantlanmış bir kilidin kilidi kilit değildir.
Her tarayıcı parola deposu aynı biçime sahiptir: sır, çalıştığınız yerde bulunur ve zaten içinde olduğunuz oturum tarafından kilidi açılır. Kendi bilgisayarınızın geri kalanının geri alabileceği şifreleme, hesapları gerçekten boşaltan tehditten — siz olarak çalışan koddan — sizi korumaz.
Clavitor neden bu şekilde okunamıyor
Clavitor kasanızı makinede saklamaz. Login Data yok, key4.db yok, Local State'te anahtar yok — siz olarak çalışan bir işlemin kazıyabileceği diskte hiçbir şey yok.
Çözme anahtarı işletim sistemi oturumunuzla mühürlenmez. Bir donanım dokunuşundan — Touch ID, Face veya YubiKey — türetilir, tarayıcıda hesaplanır, tek bir istek için kullanılır, sonra atılır. Bir kimlik bilgileri, istediğinizde kapsamlı bir API üzerinden alınır ve asla önbelleğe alınmaz. Siz olarak çalışan kötü amaçlı yazılım boş bir dolap bulur.
"Cihazınızda şifrelenmiş" ile "hiçbir cihazda değil" arasındaki fark budur.
Parolalarınızla tarayıcıya güvenmeyi bırakın.
Clavitor uzantısı tarayıcınız gibi doldurur — ve kasayı dizüstü bilgisayarınızın okuyamayacağı bir yerde saklar.