Bằng chứng cho thấy trình duyệt của bạn không phải là két an toàn.

Phiên bản ngôn ngữ dễ hiểu

"Trình quản lý mật khẩu" của trình duyệt chỉ được bảo vệ bởi một ổ khóa duy nhất: thông tin đăng nhập máy tính của bạn. Khi bạn đã đăng nhập vào máy tính xách tay của mình, trình duyệt có thể đọc mọi mật khẩu đã lưu ngay lập tức — vì vậy bất kỳ chương trình nào khác đang chạy trên tài khoản của bạn cũng có thể làm điều đó.

Một tệp tải xuống độc hại. Một trò chơi trên trình duyệt đáng ngờ. Một gói nhiễm độc trong một dự án bạn đã sao chép. Ngay khi nó chạy — khi bạn đang đăng nhập, như bạn vẫn luôn làm — nó sẽ đọc mọi mật khẩu mà trình duyệt của bạn đã lưu, chỉ trong thời gian mở một tệp. Không có mật khẩu tổng nào để bẻ khóa, vì không có gì để bẻ khóa: trình duyệt được tạo ra để tự động mở khóa cho bạn, và phần mềm độc hại chỉ cần đưa ra yêu cầu dưới danh nghĩa "bạn".

Đây không phải là lý thuyết suông. Đây là cách phổ biến nhất khiến người dùng thông thường bị mất tài khoản. Phần mềm độc hại thậm chí còn có một thuật ngữ ngành nhàm chán — "info-stealer" — vì nó đã quá phổ biến. Mật khẩu của bạn, thẻ thanh toán đã lưu của bạn, cookie phiên của bạn: bị sao chép và biến mất trước khi bạn nhận ra.

Giải pháp rất đơn giản: mật khẩu của bạn nên được khóa bằng thứ mà phần còn lại của máy tính không thể truy cập — và chúng không nên được lưu trữ trên máy tính dưới bất kỳ hình thức nào.

Phiên bản kèm bằng chứng

Đừng chỉ tin lời chúng tôi. Chromium và Firefox là mã nguồn mở, và luồng đọc được tài liệu hóa, chuẩn hóa và rất ngắn. Đây chính xác là nơi mật khẩu được lưu trữ và cách chúng được lấy ra.

const char kDPAPIKeyPrefix[] = "DPAPI";

CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
                   /*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);

Tại sao Clavitor không thể bị đọc theo cách này

Clavitor không lưu trữ két an toàn của bạn trên máy tính. Không có Login Data, không có key4.db, không có khóa trong Local State — không có gì trên ổ đĩa để một quy trình đang chạy dưới danh nghĩa của bạn có thể trích xuất.

Khóa giải mã không được niêm phong bằng thông tin đăng nhập hệ điều hành của bạn. Nó được tạo ra từ thao tác chạm phần cứng — Touch ID, Face ID, hoặc YubiKey — được tính toán trong trình duyệt, sử dụng cho một yêu cầu duy nhất, sau đó bị loại bỏ. Thông tin xác thực được truy xuất qua một API có phạm vi giới hạn chính xác khi bạn yêu cầu và không bao giờ được lưu vào bộ nhớ đệm. Phần mềm độc hại chạy dưới danh nghĩa của bạn sẽ chỉ tìm thấy một kho trống.

Đó là sự khác biệt giữa "mã hóa trên thiết bị của bạn" và "không lưu trữ trên thiết bị của bạn chút nào".