Selaimesi tarjoutuu jo tallentamaan salasanasi, ja se on ilmainen ja sisäänrakennettu — joten miksi omistettu salasananhallintaohjelma ylipäätään on olemassa? Molemmat ratkaisevat saman perusongelman (salasanojen uudelleenkirjoittamisen välttäminen) merkittävästi erilaisilla turvallisuusmalleilla. Tässä artikkelissa niitä verrataan suoraan.

Tiivistelmä

Sekä selaimen salasanojen tallennus että omistetut hallintaohjelmat salaavat tallennetut salasanat — merkittävät erot ovat selain- ja alustojenvälisessä tuessa, tietoturvatarkastuksissa ja siinä, mitä tapahtuu, jos laitteesi vaarantuu.
Selaimeen tallennetut salasanat ovat tyypillisesti suojattuja vain siinä määrin kuin laitteesi kirjautuminen; omistetut hallintaohjelmat lisäävät itsenäisen pääsalasanakerroksen.
Omistetut hallintaohjelmat tarjoavat yleensä paremman alustojenvälisen synkronoinnin (Chromeen tallennettu salasana ei auta sinua Safarissa toisella laitteella), jakamisen ja tietovuotojen valvonnan.
Kumpikaan ei korvaa tarvetta vahvoille, yksilöllisille, satunnaisesti luoduille salasanoille alun perin — molemmat ovat vain niiden säilytyspaikkoja.

Lyhyt vastaus

Selaimen salasanojen tallennus on kätevää ja parempi kuin salasanojen uudelleenkäyttö, mutta omistettu salasananhallintaohjelma tarjoaa yleensä vahvemman, siirrettävämmän turvallisuuden — pääasiassa siksi, ettei se ole sidottu yhden selainvalmistajan ekosysteemiin ja vaatii tyypillisesti oman pääsalasanan, joka on riippumaton laitteesi kirjautumisesta. Kumman tahansa valitset, luo itse salasanat jollain kuten PassGenerate sen sijaan, että luottaisit muistettaviin mutta arvattaviin valintoihin.

Miten kumpikin oikeasti suojaa tietojasi

Selaimen salasanojen tallennus (Chrome, Firefox, Safari, Edge) salaa tallennetut salasanasi, tyypillisesti sidottuna käyttöjärjestelmäsi käyttäjätilin tunnuksiin tai asettamaasi selaimen synkronointitunnuslauseeseen. Useimmissa asetuksissa, jos joku on kirjautuneena laitteellesi sinuna, hän — tai sinuna toimiva haittaohjelma — voi usein päästä käsiksi tallennettuihin salasanoihisi tai viedä ne suhteellisen vähillä lisävaiheilla, koska selaimen oma kirjautumistila toimii avaimena.

Omistetut salasananhallintaohjelmat (NordPass, Bitwarden, 1Password, Proton Pass ja muut) käyttävät yleensä erillistä pääsalasanaa salausavaimen johtamiseen kassaasi varten, riippumatta laitteesi kirjautumisesta. Tämä tarkoittaa, että kassasi avaaminen vaatii jotain muuta kuin pelkän laitteelle kirjautumisen — laitteeseen käsiksi päässyt hyökkääjä tarvitsee silti nimenomaan pääsalasanasi. Katso NordPass-arvostelu tarkempi katsaus siihen, miten yksi tietty hallintaohjelma toteuttaa tämän.

Todellinen tapaus: miksi tämä ero ei ole teoreettinen

Näiden kahden mallin välinen kuilu ei ole hypoteettinen — se on täsmälleen sama mekanismi, joka on koko tietovarkausohjelmien luokan takana. RedLine Stealer, joka havaittiin ensimmäisen kerran vuonna 2020 ja on yhä aktiivinen, on rakennettu nimenomaan selaimeen tallennettujen tunnusten keräämiseen: kun se ajetaan tartunnan saaneella laitteella, se paikantaa selaimen paikallisen tunnustietovarastotiedoston, lukee paikallisesti tallennetun avaimen, jota tarvitaan sen purkamiseen, ja vie kaikki tallennetut käyttäjätunnukset, salasanat ja sivustojen URL-osoitteet hyökkääjälle — kaikki tämä ilman, että sen tarvitsee koskea selaimen omaan kirjautumiskehotteeseen. Yhdessä dokumentoidussa tapauksessa etätyötä tekevä työntekijä tallensi yrityksen VPN-salasanan selaimensa tallennettujen salasanojen varastoon laitteella, joka oli jo saanut RedLine Stealer -tartunnan; noin kolme kuukautta myöhemmin hyökkääjä käytti näitä kerättyjä tunnuksia murtautuakseen yrityksen verkkoon.

Juuri se hyökkäyspolku — paikallisesti tallennetun purkuavaimen lukeminen, koska se on sidottu laitteeseen eikä erilliseen salaisuuteen, jonka pidät päässäsi — on täsmälleen se, minkä omistetun hallintaohjelman itsenäinen pääsalasana on suunniteltu estämään. Haittaohjelma, jolla on sama laitetason pääsy, voi silti varastaa omistetun hallintaohjelman salatun kassatiedoston, mutta ilman erikseen hallussasi olevaa pääsalasanaa se ei voi purkaa sitä.

Rinnakkaisvertailu

Tekijä	Selaimen salasanojen tallennus	Omistettu salasananhallintaohjelma
Salausavaimen lähde	Yleensä sidottu laitteen kirjautumiseen / selaimen synkronointitunnuslauseeseen	Itsenäinen pääsalasana
Selainten välinen tuki	Ei — lukittu yhden selaimen ekosysteemiin	Kyllä — toimii laajennuksen/sovelluksen kautta eri selaimissa ja käyttöjärjestelmissä
Tunnusten jakaminen muiden kanssa	Rajallinen tai ei tuettu	Usein tuettu turvallisten jakamisominaisuuksien kautta
Tietovuotojen valvonta	Yhä yleisempää, vaihtelee selaimen mukaan	Vakio-ominaisuus useimmissa maksullisissa tasoissa
Tarkastettavuus	Selaimen lähdekoodi on osittain avoin (Chromium) tai suljettu (Safari)	Vaihtelee — Bitwarden on täysin avoimen lähdekoodin, useimmat muut eivät
Hinta	Ilmainen, sisäänrakennettu	Usein ilmainen taso + maksulliset tasot lisäominaisuuksille

Milloin selaimen tallennus on aidosti riittävä

Jokainen tilanne ei vaadi omistettua hallintaohjelmaa. Jos käytät yhtä selainta johdonmukaisesti kaikilla laitteillasi, pidät laitteesi oman kirjautumisen vahvana etkä tarvitse tunnusten jakamista kenenkään muun kanssa, selaimen salasanojen tallennus on todellinen tietoturvaparannus verrattuna muistettujen salasanojen uudelleenkäyttöön — salaus on aitoa, ja se on paljon parempi kuin vaihtoehto, jossa käytetään uudelleen kourallista salasanoja kaikkialla, koska hallintaohjelma tuntui liian isolta vaivalta.

Milloin omistettu hallintaohjelma kannattaa vaihtaa

Omistettu hallintaohjelma ansaitsee lisävaivan, kun: käytät useampaa kuin yhtä selainta tai tarvitset salasanoja saataville eri ekosysteemien välillä (esim. Chrome Windowsissa ja Safari iOS:ssa); haluat jakaa tiettyjä tunnuksia turvallisesti perheen tai tiimin kanssa ilman, että niitä luetaan ääneen tai lähetetään tekstiviestillä; haluat itsenäisen tietovuotojen valvonnan sen sijaan, että luottaisit yhden valmistajan tunnistukseen; tai haluat nimenomaan mahdollisuuden tarkastaa koodin, jolloin avoimen lähdekoodin vaihtoehto kuten Bitwarden on selkein valinta — sen koodikanta on julkisesti tarkastettavissa, ja se käy läpi vuosittaiset kolmannen osapuolen auditoinnit (muun muassa tietoturvayhtiö Cure53) sekä ETH Zürichin Applied Cryptography -ryhmän erillisen kryptografia-arvion, oman bug bounty -ohjelmansa lisäksi.

Mitä kumpikaan lähestymistapa ei korjaa yksinään

Sekä selaimen tallennus että omistetut hallintaohjelmat ovat säilytystä — ne eivät tee heikosta salasanasta vahvaa. Salattuun kassaan tallennettu uudelleenkäytetty, arvattava salasana on silti uudelleenkäytetty, arvattava salasana; kassa vain tekee sen uudelleenkäytöstä mukavampaa. Varsinainen tietoturvatyö tapahtuu luontihetkellä: käytä CSPRNG-pohjaista generaattoria luodaksesi yksilöllisen, satunnaisen salasanan jokaiselle tilille, ja anna valitsemasi säilytystavan hoitaa sen muistaminen.

Keskeiset havainnot

Sekä selaimen salasanojen tallennus että omistetut hallintaohjelmat salaavat tallentamansa; todelliset erot ovat avaimen riippumattomuudessa, alustojenvälisessä kattavuudessa, jakamisessa ja tarkastettavuudessa.
Selaimen tallennus on kohtuullinen oletusvalinta, jos käytät yhtä selainta, yhtä ekosysteemiä etkä tarvitse tunnusten jakamista.
Omistettu hallintaohjelma ansaitsee asennusvaivansa alustojenvälisellä synkronoinnilla, turvallisella jakamisella ja (nimenomaan Bitwardenin osalta) avoimen lähdekoodin tarkastettavuudella.
Kumpikaan ei ratkaise heikkoja tai uudelleenkäytettyjä salasanoja — se ratkaistaan luontihetkellä, ei säilytyshetkellä.

Miksi voit luottaa PassGenerateen

Salasanat luodaan paikallisesti selaimessasi Web Crypto API:n avulla.
Salasanoja ei lähetetä palvelimille.
Käyttää kryptografisesti turvallista pseudosatunnaislukugeneraattoria (CSPRNG).
Noudattaa nykyaikaisia NIST:n ja OWASP:n suosittelemia tietoturvan parhaita käytäntöjä.

Lähteet

RedLine Stealer -haittaohjelma-analyysi (selaimen tunnusvaraston kohdistus)
Bitwardenin kolmannen osapuolen tietoturva-auditoinnit (Cure53, ETH Zürichin Applied Cryptography Group)
NIST SP 800-63B – Digital Identity Guidelines
OWASP Authentication Cheat Sheet
MDN Web Crypto API Documentation

Johtopäätös

Sekä selaimen salasanojen tallennus että omistetut salasananhallintaohjelmat voittavat muistettujen salasanojen uudelleenkäytön, ja oikea valinta riippuu siitä, kuinka montaa selainta ja laitetta todella käytät ja tarvitseeko sinun jakaa tunnuksia kenenkään kanssa. Tärkeämpää kuin se, minkä säilytystavan valitset, on se, mitä säilytät — luo yksilölliset, satunnaiset salasanat jokaiselle tilille ensin, ja anna valitsemasi säilytystavan hoitaa loput.

Salasananhallinta vs. selaimen salasanojen tallennus: kumpaa kannattaa oikeasti käyttää?