Twoja przeglądarka już teraz oferuje zapisywanie haseł, i jest to darmowe oraz wbudowane — więc po co w ogóle istnieją dedykowane menedżery haseł? Oba rozwiązania rozwiązują ten sam podstawowy problem (nie trzeba ponownie wpisywać haseł), ale w istotnie różnych modelach bezpieczeństwa. Ten artykuł porównuje je bezpośrednio.

W skrócie

Zarówno zapisywanie haseł w przeglądarce, jak i dedykowane menedżery szyfrują przechowywane hasła — istotne różnice dotyczą wsparcia między przeglądarkami/platformami, audytów bezpieczeństwa oraz tego, co dzieje się w razie złamania Twojego urządzenia.
Hasła zapisane w przeglądarce są zazwyczaj chronione tylko na tyle, na ile chronione jest logowanie do Twojego urządzenia; dedykowane menedżery dodają niezależną warstwę hasła głównego.
Dedykowane menedżery generalnie oferują lepszą synchronizację międzyplatformową (hasło zapisane w Chrome nie pomoże Ci w Safari na innym urządzeniu), udostępnianie oraz monitorowanie wycieków.
Żadne z tych rozwiązań nie zastępuje potrzeby silnych, unikalnych, losowo generowanych haseł na wstępie — oba są jedynie miejscem ich przechowywania.

Krótka odpowiedź

Zapisywanie haseł w przeglądarce jest wygodne i lepsze niż ponowne używanie tych samych haseł, ale dedykowany menedżer haseł generalnie oferuje silniejsze, bardziej przenośne bezpieczeństwo — głównie dlatego, że nie jest związany z ekosystemem jednego dostawcy przeglądarki i zwykle wymaga własnego hasła głównego, niezależnego od logowania do urządzenia. Niezależnie od wyboru, generuj same hasła za pomocą narzędzia takiego jak PassGenerate, zamiast polegać na wyborach łatwych do zapamiętania, ale też łatwych do odgadnięcia.

Jak każde z rozwiązań faktycznie chroni Twoje dane

Zapisywanie haseł w przeglądarce (Chrome, Firefox, Safari, Edge) szyfruje zapisane hasła, zwykle powiązane z danymi logowania do konta użytkownika systemu operacyjnego lub z frazą synchronizacji przeglądarki, którą sam ustawiasz. W większości konfiguracji, jeśli ktoś jest zalogowany na Twoim urządzeniu jako Ty, on — lub złośliwe oprogramowanie działające w Twoim imieniu — może często uzyskać dostęp lub wyeksportować zapisane hasła przy stosunkowo niewielu dodatkowych krokach, ponieważ sam stan logowania przeglądarki pełni rolę klucza.

Dedykowane menedżery haseł (NordPass, Bitwarden, 1Password, Proton Pass i inne) zazwyczaj używają osobnego hasła głównego do wyprowadzenia klucza szyfrującego dla Twojego sejfu, niezależnie od logowania do urządzenia. Oznacza to, że odblokowanie sejfu wymaga czegoś więcej niż samo zalogowanie się na urządzeniu — atakujący mający dostęp do urządzenia nadal potrzebuje konkretnie Twojego hasła głównego. Więcej o tym, jak jeden konkretny menedżer realizuje to podejście, znajdziesz w artykule Recenzja NordPass.

Rzeczywisty przypadek: dlaczego to rozróżnienie nie jest teoretyczne

Różnica między tymi dwoma modelami nie jest hipotetyczna — to dokładnie ten mechanizm stoi za całą kategorią złośliwego oprogramowania kradnącego dane. RedLine Stealer, po raz pierwszy zaobserwowany w 2020 roku i wciąż aktywny, jest zbudowany specjalnie do zbierania danych uwierzytelniających zapisanych w przeglądarce: gdy tylko zacznie działać na zainfekowanym urządzeniu, odnajduje lokalny plik przechowujący dane uwierzytelniające przeglądarki, odczytuje przechowywany lokalnie klucz potrzebny do jego odszyfrowania i wykrada każdą zapisaną nazwę użytkownika, hasło oraz adres URL strony do atakującego — wszystko to bez konieczności dotykania samego okna logowania przeglądarki. W jednym udokumentowanym przypadku pracownik pracujący z domu zapisał hasło do firmowego VPN-a w mechanizmie zapisywania haseł swojej przeglądarki na urządzeniu, które było już zainfekowane RedLine Stealer; około trzy miesiące później atakujący użył tych wykradzionych danych uwierzytelniających, by włamać się do sieci firmowej.

Ta konkretna ścieżka ataku — odczytanie klucza deszyfrującego przechowywanego lokalnie ponieważ jest powiązany z urządzeniem, a nie z osobnym sekretem przechowywanym w Twojej głowie — to dokładnie to, czemu ma zapobiegać niezależne hasło główne dedykowanego menedżera. Złośliwe oprogramowanie z takim samym dostępem na poziomie urządzenia nadal może wykraść zaszyfrowany plik sejfu dedykowanego menedżera, ale bez Twojego osobno przechowywanego hasła głównego nie może go odszyfrować.

Porównanie obok siebie

Czynnik	Zapisywanie haseł w przeglądarce	Dedykowany menedżer haseł
Źródło klucza szyfrującego	Zwykle powiązane z logowaniem do urządzenia / frazą synchronizacji przeglądarki	Niezależne hasło główne
Wsparcie między przeglądarkami	Nie — ograniczone do ekosystemu jednej przeglądarki	Tak — działa przez rozszerzenie/aplikację w różnych przeglądarkach i systemach operacyjnych
Udostępnianie danych logowania innym	Ograniczone lub nieobsługiwane	Często obsługiwane dzięki funkcjom bezpiecznego udostępniania
Monitorowanie wycieków	Coraz częściej dostępne, zależy od przeglądarki	Standardowa funkcja w większości płatnych planów
Możliwość audytu	Kod źródłowy przeglądarki jest częściowo otwarty (Chromium) lub zamknięty (Safari)	Zróżnicowana — Bitwarden jest w pełni open source; większość innych nie jest
Koszt	Darmowe, wbudowane	Często darmowy plan podstawowy + płatne plany za zaawansowane funkcje

Kiedy zapisywanie w przeglądarce jest naprawdę wystarczające

Nie każda sytuacja wymaga dedykowanego menedżera. Jeśli konsekwentnie korzystasz z jednej przeglądarki na wszystkich swoich urządzeniach, dbasz o silne logowanie do samego urządzenia i nie musisz udostępniać danych logowania nikomu innemu, zapisywanie haseł w przeglądarce stanowi realną poprawę bezpieczeństwa w porównaniu z ponownym używaniem zapamiętanych haseł — szyfrowanie jest tu prawdziwe i jest to znacznie lepsze niż alternatywa polegająca na powielaniu garstki haseł wszędzie, ponieważ menedżer wydawał się zbyt dużym zachodem.

Kiedy warto przejść na dedykowany menedżer

Dedykowany menedżer zarabia na dodatkowy krok konfiguracji, gdy: używasz więcej niż jednej przeglądarki lub potrzebujesz haseł dostępnych w różnych ekosystemach (np. Chrome na Windows i Safari na iOS); chcesz bezpiecznie udostępnić konkretne dane logowania rodzinie lub zespołowi bez odczytywania ich na głos czy wysyłania SMS-em; chcesz niezależnego monitorowania wycieków zamiast polegać na wykrywaniu przez jednego dostawcę; lub konkretnie chcesz mieć możliwość zaudytowania kodu — w takim przypadku opcja open source, taka jak Bitwarden, pasuje najlepiej — jej kod jest publicznie dostępny do przeglądu i przechodzi coroczne audyty firm trzecich (m.in. firmy Cure53), a także dedykowany przegląd kryptografii przez Applied Cryptography Group na ETH Zurich, dodatkowo do własnego programu bug bounty.

Czego żadne z rozwiązań nie naprawia samodzielnie

Zarówno zapisywanie w przeglądarce, jak i dedykowane menedżery to przechowywanie — nie sprawiają, że słabe hasło staje się silne. Powielane, łatwe do odgadnięcia hasło zapisane w zaszyfrowanym sejfie nadal pozostaje powielanym, łatwym do odgadnięcia hasłem; sejf sprawia jedynie, że wygodniej jest je powielać. Rzeczywista praca nad bezpieczeństwem odbywa się w momencie generowania: użyj generatora opartego na CSPRNG, aby stworzyć unikalne, losowe hasło dla każdego konta, a przechowywaniem niech zajmie się dowolna metoda, którą wolisz.

Najważniejsze wnioski

Zapisywanie haseł w przeglądarce i dedykowane menedżery szyfrują to, co przechowują; rzeczywiste różnice dotyczą niezależności klucza, zasięgu międzyplatformowego, udostępniania i możliwości audytu.
Zapisywanie w przeglądarce to rozsądny wybór domyślny, jeśli korzystasz z jednej przeglądarki, jednego ekosystemu i nie musisz udostępniać danych logowania.
Dedykowany menedżer zarabia na koszt konfiguracji dzięki synchronizacji międzyplatformowej, bezpiecznemu udostępnianiu i (konkretnie w przypadku Bitwarden) możliwości audytu jako open source.
Żadne z rozwiązań nie rozwiązuje problemu słabych lub powielanych haseł — to rozwiązuje się w momencie generowania, a nie przechowywania.

Dlaczego możesz zaufać PassGenerate

Hasła są generowane lokalnie w Twojej przeglądarce za pomocą interfejsu Web Crypto API.
Żadne hasła nie są przesyłane na serwery.
Wykorzystuje kryptograficznie bezpieczny generator liczb pseudolosowych (CSPRNG).
Stosuje nowoczesne najlepsze praktyki bezpieczeństwa zalecane przez NIST i OWASP.

Źródła

Analiza złośliwego oprogramowania RedLine Stealer (atakowanie magazynu danych logowania przeglądarki)
Audyty bezpieczeństwa firm trzecich dla Bitwarden (Cure53, Applied Cryptography Group na ETH Zurich)
NIST SP 800-63B – Digital Identity Guidelines
OWASP Authentication Cheat Sheet
Dokumentacja Web Crypto API na MDN

Podsumowanie

Zapisywanie haseł w przeglądarce i dedykowane menedżery haseł oba biją na głowę powielanie zapamiętanych haseł, a właściwy wybór zależy od tego, ilu przeglądarek i urządzeń faktycznie używasz oraz czy musisz udostępniać dane logowania komukolwiek. Ważniejsze od wyboru metody przechowywania jest to, co przechowujesz — najpierw generuj unikalne, losowe hasła dla każdego konta, a wybraną metodą przechowywania zajmij się dopiero potem.

Menedżer haseł a zapisywanie haseł w przeglądarce: z czego naprawdę powinieneś korzystać?