--- title: "Доказ того, що ваш браузер не є сховищем" description: "Chrome та Firefox передадуть ваші збережені паролі будь-якій програмі, що працює під вашим обліковим записом. Ось доказ — простими словами та у вигляді коду — і чому сховище Clavitor неможливо прочитати таким же чином." lang: uk url: https://clavitor.ai/uk/security/browsers markdown: https://clavitor.ai/uk/security/browsers.md translation_of: https://clavitor.ai/en/security/browsers.md authoritative: false publisher: Clavitor LLC --- > This is the Ukrainian translation of [Proof your browser isn't a vault](https://clavitor.ai/en/security/browsers.md). The original English text is authoritative; where the two differ, the English version prevails. # Безпека: Доказ того, що ваш браузер не є сховищем. Chrome та Firefox збережуть ваші паролі — а потім передадуть їх будь-якій програмі, що працює під вашим обліковим записом. Це не помилка. Це дизайн. Ось доказ: спочатку простими словами, потім у вигляді коду. ## Версія простими словами "Менеджер паролів" вашого браузера захищений рівно одним замком: входом до вашого комп'ютера. Як тільки Ви увійшли до свого ноутбука, браузер може миттєво прочитати кожен збережений пароль — отже, будь-яка інша програма, що працює під Вашим обліковим записом, також може це зробити. Погане завантаження. Підозріла браузерна гра. Один заражений пакет у проєкті, який Ви клонували. У той момент, коли він запускається — поки Ви увійшли до системи, як завжди — він читає кожен пароль, збережений Вашим браузером, за час, необхідний для відкриття файлу. Немає головного пароля для зламу, тому що нічого зламувати: браузер був створений для автоматичного розблокування для Вас, а шкідливе програмне забезпечення просто ввічливо запитує від Вашого імені. Це не теоретично. Це найпоширеніший спосіб, яким звичайні люди втрачають свої облікові записи. Шкідливе програмне забезпечення навіть має нудну галузеву назву — "інфостилери" — тому що це настільки рутинно. Ваші паролі, збережені картки, сесійні куки: скопійовані та втрачені, перш ніж Ви це помітите. Рішення просте: Ваші паролі повинні бути заблоковані чимось, чого немає на решті Вашого комп'ютера — і вони взагалі не повинні зберігатися на машині. ## Версія з підтвердженнями Не вірте нам на слово. Chromium та Firefox є відкритим програмним забезпеченням, а шлях читання задокументований, стандартний і короткий. Ось де саме знаходяться паролі та як вони витягуються. #### Chrome (і кожен браузер на базі Chromium) Chrome зберігає логіни в базі даних SQLite — `Login Data`, таблиця `logins`, стовпець `password_value` — зашифровані за допомогою AES-256-GCM. Ключ AES знаходиться в `Local State`, "захищений" ОС: DPAPI на Windows, Keychain на macOS, gnome-keyring/kwallet (або у відкритому вигляді) на Linux. Прочитайте самі — код відкритий. Шукайте в Chromium константу, яка позначає загорнутий ключ: [`kDPAPIKeyPrefix` у `os_crypt`](https://source.chromium.org/search?q=kDPAPIKeyPrefix%20file:os_crypt). Ключ загорнутий DPAPI, позначений і збережений — потім розгорнутий одним викликом, який нічого не захищає від *Вас*: ``` const char kDPAPIKeyPrefix[] = "DPAPI"; CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr, /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output); ``` Немає другого секрету, пароля, запиту. `CryptUnprotectData` повертає ключ будь-якому процесу, що працює у Вашій сесії — що точно відповідає [моделі загроз, описаній DPAPI](https://learn.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptunprotectdata): якщо він працює під Вашим обліковим записом, то це *Ви*. Уся робота зловмисника полягає в трьох рядках: прочитати ключ з `Local State`, розгорнути його, розшифрувати AES-GCM кожен рядок у `Login Data`. Шкідливе програмне забезпечення типу "інфостилер" робить це роками. #### "Шифрування на пристрої" також не рятує Відповідь Google — це 6-значний PIN-код, який шифрує Ваше синхронізоване сховище. У травні 2026 року дослідники з Phishu показали, наскільки це ненадійно. Переконливий підроблений вхід до Google — фішинг "зловмисник посередині" — захоплює сесію та цей PIN-код, а PIN-код *є* головним ключем до кожного пароля та ключа доступу в синхронізованому обліковому записі. З ним зловмисник додає свій пристрій до Вашого "домену безпеки" Google, і все сховище синхронізується безпосередньо до нього — повне захоплення за один крок. Недолік дизайну: Google дозволяє пристрою приєднатися лише за 6-значним PIN-кодом, без підтвердження з пристрою, який Ви вже маєте. [VaultJacking — GBHackers, травень 2026](https://gbhackers.com/google-password-vaults-via-single-pin/) #### Firefox Firefox зберігає логіни в `logins.json`, а ключ — у `key4.db`, розшифрований "Секретним декодувальним кільцем" NSS — також відкритим програмним забезпеченням: [`security/nss/lib/pk11wrap/pk11sdr.c`](https://searchfox.org/firefox-main/source/security/nss/lib/pk11wrap/pk11sdr.c). Якщо Ви встановили [Основний пароль](https://support.mozilla.org/en-US/kb/use-primary-password-protect-stored-logins), ключ запечатується ним. За замовчуванням Ви цього не зробили — тому ключ запечатується порожнім рядком, а збережене значення "password-check" підтверджує, що порожній пароль його розшифровує. Скопіюйте два файли з Вашого профілю (`key4.db` + `logins.json`), вкажіть на них NSS або відкритий `firepwd.py`, і вони розшифруються. Замок, ключ від якого приклеєний до дверей, не є замком. ## The common thread Кожне сховище паролів браузера має однакову структуру: секрет зберігається там, де Ви працюєте, розблокований сесією, в якій Ви вже перебуваєте. Шифрування, яке може скасувати решта Вашого комп'ютера, не захищає Вас від загрози, яка фактично спустошує облікові записи — коду, що працює під Вашим обліковим записом. ## Чому Clavitor неможливо прочитати таким чином Clavitor не зберігає Ваше сховище на машині. Немає `Login Data`, `key4.db`, ключа в `Local State` — нічого на диску, що процес, який працює під Вашим обліковим записом, міг би витягти. Ключ розшифрування не запечатується Вашим входом до ОС. Він виводиться з апаратного дотику — Touch ID, Face ID або YubiKey — обчислюється в браузері, використовується для одного запиту, а потім відкидається. Облікові дані отримуються через обмежений API саме тоді, коли Ви їх запитуєте, і ніколи не кешуються. Шкідливе програмне забезпечення, що працює під Вашим обліковим записом, знаходить порожню шафу. Це різниця між "зашифровано на Вашому пристрої" та "взагалі не на Вашому пристрої". [Як Clavitor шифрує, повністю](https://clavitor.ai/uk/security) ## Припиніть довіряти браузеру свої паролі. Розширення Clavitor заповнює поля так само, як Ваш браузер — і зберігає сховище там, де Ваш ноутбук не може його прочитати. [Встановити з Chrome Web Store](https://chromewebstore.google.com/detail/clavitor/ddbhcfcclgjplbibgcphifegjadnmfpf) [Прочитайте модель безпеки](https://clavitor.ai/uk/security)