A böngésződ már felajánlja, hogy mentse a jelszavaidat, és ez ingyenes és beépített — akkor miért létezik egyáltalán dedikált jelszókezelő? A kettő ugyanazt az alapproblémát oldja meg (nem kell újra beírni a jelszavakat), de érdemben eltérő biztonsági modellekkel. Ez a cikk közvetlenül összehasonlítja őket.
Röviden
- Mind a böngészős jelszómentés, mind a dedikált kezelők titkosítják a tárolt jelszavakat — az érdemi különbségek a böngészők/platformok közötti támogatásban, a biztonsági auditálásban, és abban rejlenek, mi történik, ha az eszközöd kompromittálódik.
- A böngészőben mentett jelszavak jellemzően csak annyira védettek, mint az eszközöd bejelentkezése; a dedikált kezelők egy független mesterjelszó-réteget adnak hozzá.
- A dedikált kezelők általában jobb platformok közötti szinkronizálást (egy Chrome-ban mentett jelszó nem segít Safariban egy másik eszközön), megosztást, és adatszivárgás-figyelést kínálnak.
- Egyik sem helyettesíti az erős, egyedi, véletlenszerűen generált jelszavak szükségességét eleve — mindkettő csak a tárolásukat végzi.
Rövid válasz
A böngészős jelszómentés kényelmes, és jobb, mint a jelszavak újrafelhasználása, de egy dedikált jelszókezelő általában erősebb, hordozhatóbb biztonságot kínál — főként azért, mert nincs egyetlen böngészőgyártó ökoszisztémájához kötve, és jellemzően a saját, az eszközbejelentkezéstől független mesterjelszavát igényli. Bármelyiket is választod, magukat a jelszavakat olyan eszközzel generáld, mint a PassGenerate, ahelyett hogy megjegyezhető, de kitalálható választásokra hagyatkoznál.
Hogyan védi ténylegesen az adataidat mindegyik
A böngészős jelszómentés (Chrome, Firefox, Safari, Edge) titkosítja a mentett jelszavaidat, jellemzően az operációs rendszered felhasználói fiókjának hitelesítő adataihoz vagy egy általad beállított böngészőszinkronizálási jelmondathoz kötve. A legtöbb beállításnál, ha valaki bejelentkezve van az eszközödre mint te — vagy a te felhasználódként futó rosszindulatú szoftver —, gyakran viszonylag kevés további lépéssel hozzáférhet a mentett jelszavaidhoz vagy exportálhatja azokat, mivel maga a böngésző bejelentkezési állapota szolgál kulcsként.
A dedikált jelszókezelők (NordPass, Bitwarden, 1Password, Proton Pass és mások) általában egy külön mesterjelszót használnak a széfed titkosítási kulcsának levezetésére, függetlenül az eszközbejelentkezéstől. Ez azt jelenti, hogy a széfed feloldásához több kell, mint egyszerűen bejelentkezve lenni az eszközre — az eszközhöz hozzáféréssel rendelkező támadónak konkrétan a mesterjelszavadra is szüksége van. Lásd a NordPass-áttekintést egy alaposabb betekintésért abba, hogyan valósítja meg ezt egy konkrét kezelő.
Egy valódi eset: miért nem elméleti ez a megkülönböztetés
A két modell közötti szakadék nem elméleti — pontosan ez a mechanizmus áll az információlopó kártevők egy egész kategóriája mögött. A RedLine Stealer, amelyet először 2020-ban észleltek és még mindig aktív, kifejezetten arra épült, hogy begyűjtse a böngészőben mentett hitelesítő adatokat: miután lefut egy fertőzött eszközön, megkeresi a böngésző helyi hitelesítőadat-tároló fájlját, beolvassa a dekódolásához szükséges, szintén helyileg tárolt kulcsot, majd minden mentett felhasználónevet, jelszót és webhely-URL-t kiszivárogtat a támadóhoz — mindezt anélkül, hogy hozzá kellene érnie a böngésző saját bejelentkezési felugró ablakához. Egy dokumentált esetben egy otthonról dolgozó alkalmazott elmentette a vállalati VPN-jelszavát böngészője mentett jelszavak tárolójában, egy olyan eszközön, amely már fertőzött volt RedLine Stealerrel; körülbelül három hónappal később a támadó ezekkel a begyűjtött hitelesítő adatokkal tört be a vállalat hálózatába.
Az a konkrét támadási útvonal — egy helyileg tárolt dekódoló kulcs kiolvasása, mert az az eszközhöz kötődik, nem pedig egy külön, a fejedben tartott titokhoz — pontosan az, amit egy dedikált kezelő független mesterjelszava hivatott megakadályozni. Az ugyanolyan eszközszintű hozzáféréssel rendelkező kártevő továbbra is ellophatja egy dedikált kezelő titkosított széffájlját, de a külön tárolt mesterjelszavad nélkül nem tudja dekódolni azt.
Közvetlen összehasonlítás
| Tényező | Böngészős jelszómentés | Dedikált jelszókezelő |
|---|---|---|
| Titkosítási kulcs forrása | Általában eszközbejelentkezéshez / böngészőszinkronizálási jelmondathoz kötve | Független mesterjelszó |
| Böngészők közötti támogatás | Nem — egy böngésző ökoszisztémájához zárva | Igen — bővítményen/alkalmazáson keresztül működik böngészők és operációs rendszerek között |
| Hitelesítő adatok megosztása másokkal | Korlátozott vagy nem támogatott | Gyakran támogatott biztonságos megosztási funkciókon keresztül |
| Adatszivárgás-figyelés | Egyre gyakoribb, böngészőnként eltérő | Standard funkció a legtöbb fizetős csomagban |
| Auditálhatóság | A böngésző kódja részben nyílt (Chromium) vagy zárt (Safari) | Változó — a Bitwarden teljesen nyílt forráskódú; a legtöbb más nem |
| Költség | Ingyenes, beépített | Gyakran ingyenes csomag + fizetős csomagok a haladó funkciókhoz |
Amikor a böngészős mentés valóban rendben van
Nem minden helyzet igényel dedikált kezelőt. Ha az eszközeidön következetesen egyetlen böngészőt használsz, magát az eszközbejelentkezésedet erősen tartod, és nincs szükséged arra, hogy hitelesítő adatokat oszd meg mással, a böngészős jelszómentés valódi biztonsági javulást jelent a megjegyzett jelszavak újrafelhasználásához képest — a titkosítás jogos, és sokkal jobb, mint az az alternatíva, hogy mindenhol ugyanazt a néhány jelszót használod újra, mert egy kezelő túl sok macerának tűnt.
Amikor megéri a váltás egy dedikált kezelőre
Egy dedikált kezelő megéri a plusz beállítási lépést, ha: egynél több böngészőt használsz, vagy eltérő ökoszisztémákon keresztül van szükséged jelszavakra (például Chrome Windowson és Safari iOS-en); biztonságosan meg akarsz osztani konkrét hitelesítő adatokat a családoddal vagy egy csapattal anélkül, hogy hangosan felolvasnád vagy elküldenéd SMS-ben azokat; független adatszivárgás-figyelést szeretnél, ahelyett hogy egyetlen gyártó észlelésére hagyatkoznál; vagy kifejezetten szeretnéd a kódot auditálni, amely esetben egy nyílt forráskódú lehetőség, mint a Bitwarden, a legjobb választás — a kódbázisa nyilvánosan felülvizsgálható, évente harmadik féltől származó auditokon esik át (a Cure53 biztonsági cég is köztük van), plusz az ETH Zürich Applied Cryptography Group dedikált kriptográfiai felülvizsgálatán, valamint saját bug bounty programmal is rendelkezik.
Amit egyik módszer sem old meg önmagában
Mind a böngészős mentés, mind a dedikált kezelők csupán tárolás — nem tesznek erőssé egy gyenge jelszót. Egy újrafelhasznált, kitalálható jelszó, amelyet titkosított széfben tárolnak, továbbra is újrafelhasznált, kitalálható jelszó marad; a széf csak kényelmesebbé teszi az újrafelhasználást. A tényleges biztonsági munka a generálás pillanatában történik: használj egy CSPRNG-alapú generátort, hogy egyedi, véletlenszerű jelszót hozz létre minden fiókhoz, és hagyd, hogy a választott tárolási módszered kezelje a megjegyzését.
Legfontosabb tanulságok
- A böngészős jelszómentés és a dedikált kezelők egyaránt titkosítják, amit tárolnak; a valódi különbségek a kulcsfüggetlenségben, a platformok közötti elérésben, a megosztásban és az auditálhatóságban rejlenek.
- A böngészős mentés ésszerű alapértelmezés, ha egy böngészőt, egy ökoszisztémát használsz, és nincs szükséged hitelesítő adatok megosztására.
- Egy dedikált kezelő megéri a beállítási költséget a platformok közötti szinkronizálással, a biztonságos megosztással, és (kifejezetten a Bitwardennél) a nyílt forráskódú auditálhatósággal.
- Egyik sem oldja meg a gyenge vagy újrafelhasznált jelszavakat — azt a generálás pillanatában kell megoldani, nem a tárolás pillanatában.
Miért bízhatsz a PassGenerate-ben
- A jelszavak helyileg, a böngésződben jönnek létre a Web Crypto API segítségével.
- Semmilyen jelszó nem kerül továbbításra szerverekre.
- Kriptográfiailag biztonságos álvéletlenszám-generátort (CSPRNG) használ.
- A NIST és az OWASP által ajánlott modern biztonsági bevált gyakorlatokat követi.
Hivatkozások
- RedLine Stealer kártevő elemzése (böngésző hitelesítőadat-tárolóit célzó)
- Bitwarden harmadik féltől származó biztonsági auditok (Cure53, ETH Zürich Applied Cryptography Group)
- NIST SP 800-63B – Digital Identity Guidelines
- OWASP Authentication Cheat Sheet
- MDN Web Crypto API dokumentáció
Összegzés
A böngészős jelszómentés és a dedikált jelszókezelők egyaránt jobbak, mint a megjegyzett jelszavak újrafelhasználása, és a helyes választás elsősorban attól függ, hány böngészőt és eszközt használsz ténylegesen, és hogy szükséged van-e hitelesítő adatok megosztására bárkivel. Fontosabb annál, hogy melyik tárolási módszert választod, hogy mit tárolsz — generálj először egyedi, véletlenszerű jelszavakat minden fiókhoz, és hagyd, hogy a választott tárolási módszered kezelje a többit.