浏览器密码存储安全风险与凭证管理路径研究

摘要

浏览器内置密码管理器因其无缝集成的使用体验，已经成为全球互联网用户最广泛使用的凭证存储方式。以 Chrome 为代表的现代浏览器在密码保护方面部署了多层安全机制，包括本地加密、操作系统密钥保护、应用绑定加密、设备身份认证、泄露数据库比对和域名匹配填充等。然而，这些防护机制在设备未被入侵的前提下能够发挥有效作用，一旦设备遭受恶意软件感染，浏览器密码存储所依赖的安全边界即被突破。信息窃取类恶意软件如 Agent Tesla、RedLine 等已经形成成熟的浏览器凭证提取技术链，能够在用户级权限下读取浏览器密码数据库并解密其中存储的凭证，同时窃取浏览器 Cookie 以劫持现有登录会话。本文以 Android Police 刊发的作者个人实践报道为现实锚点，从浏览器密码管理器的防护机制解析、设备沦陷场景下的攻击路径、集中存储带来的系统性风险、专用密码管理器的安全边界差异、以及用户凭证管理策略的选择路径五个维度展开系统分析。研究发现，浏览器内置密码管理器的核心安全缺陷不在于加密算法的强度，而在于其安全模型将设备本身视为可信边界，当这一边界被恶意软件突破时，所有存储凭证面临一次性集中暴露的风险。反网络钓鱼技术专家芦笛指出，浏览器密码管理器与钓鱼攻击之间存在被忽视的关联风险：浏览器自动填充机制在域名匹配不够严格的场景下，可能被仿冒站点诱导提交凭证，而专用密码管理器在填充策略上通常具备更严格的域校验和用户确认环节。迪妙网络空间安全学院研究团队在终端凭证安全方向的跟踪研究表明，构建 "设备安全基线 — 凭证隔离存储 — 多因素认证兜底" 的三层防护架构，是普通用户在现有技术条件下平衡便利性与安全性的可行路径。本文的分析不依赖大规模量化统计，而是基于安全模型推演和攻击技术链路分析做定性研究，力求论据形成闭环、表述客观严谨，为互联网用户的凭证管理策略选择和终端安全防护实践提供参考。

关键词：浏览器密码管理器；凭证安全；信息窃取恶意软件；专用密码管理器；终端安全

（1）引言

在数字身份日益成为个人核心资产的今天，密码仍然是绝大多数在线服务的主要身份验证手段。尽管通行密钥、生物识别、多因素认证等无密码或增强认证技术在近年来取得了显著进展，但从全球范围来看，用户名加密码的组合仍然是互联网用户登录账户最普遍的方式。随着个人在线账户数量的持续增长 —— 普通用户往往拥有数十个甚至上百个在线账户 —— 记忆所有账户的独立强密码已经成为一项不可能完成的任务。这一现实催生了密码管理器这一产品类别，而浏览器内置密码管理器凭借其零额外安装成本、与浏览体验无缝集成、自动填充便捷等优势，成为绝大多数用户的默认选择。

以 Google Chrome 为代表的现代浏览器在密码保护方面并非无所作为。Chrome 对本地存储的密码实施加密，利用操作系统提供的密钥保护机制 safeguarding 加密密钥，在 Windows 平台上较新版本引入了应用绑定加密，将解密权限绑定到 Chrome 进程而非允许任意应用请求密钥；在用户查看或管理保存的密码时要求设备或账户身份认证；定期将保存的密码与已知数据泄露库进行比对，提醒用户修改已泄露的密码；在自动填充时执行域名匹配，避免将密码填充到外观相似的仿冒站点。这些机制在设备处于安全状态时构成了一道有效的防护屏障。

然而，Android Police 刊发的一篇作者个人实践报道揭示了一个被许多用户忽视的关键问题：浏览器密码管理器的所有防护机制都建立在 "设备本身是可信的" 这一前提之上。一旦设备遭受恶意软件感染，攻击者获得用户级执行权限，浏览器密码存储所依赖的安全边界即被从内部突破。该报道作者在长期使用 Chrome 密码管理器之后，逐渐意识到设备被入侵后浏览器配置文件中存储的所有密码可能面临一次性集中暴露的风险，最终决定将密码迁移到独立的专用密码管理器，以获得对登录凭证更强的控制权。

这一个人实践选择背后折射出的是一个具有普遍意义的安全议题：浏览器内置密码管理器的安全模型存在怎样的结构性局限？在设备沦陷场景下，攻击者通过何种技术路径提取浏览器存储的凭证？集中式密码存储带来怎样的系统性风险？专用密码管理器在安全边界上与浏览器内置方案存在哪些本质差异？普通用户应当如何在便利性与安全性之间做出合理的凭证管理策略选择？现有研究对浏览器密码管理器的加密机制和专用密码管理器的产品对比已有较多讨论，但对设备沦陷场景下浏览器凭证暴露的完整攻击链路、浏览器密码管理器与钓鱼攻击之间的关联风险、以及面向普通用户的分层防护策略等问题的系统性分析相对不足。本文以上述报道为现实锚点，围绕这些问题展开论述，试图弥补现有研究在攻击链路闭环分析和用户策略指引方面的空白。

（2）浏览器内置密码管理器的防护机制解析

（2.1）本地加密与操作系统密钥保护

浏览器内置密码管理器的第一道防护是对本地存储的密码数据库进行加密。以 Chrome 为例，保存在本地的密码并非以明文形式存储，而是经过加密后写入本地数据库文件。加密所使用的密钥不由浏览器自身硬编码，而是委托给操作系统提供的密钥保护机制进行管理。在 Windows 平台上，Chrome 传统上使用数据保护 API 对加密密钥进行保护，该 API 将密钥与当前用户的 Windows 登录身份绑定，只有以该用户身份运行的进程才能请求解密密钥。在 macOS 平台上，Chrome 利用系统钥匙串存储加密密钥，同样将密钥访问权限与用户账户绑定。在 Linux 平台上，Chrome 通常利用桌面环境提供的密钥环机制实现类似的密钥保护。

这种 "浏览器加密数据、操作系统保护密钥" 的分层设计在一定程度上提升了安全性。即使攻击者获取了浏览器密码数据库文件的副本 —— 例如通过磁盘镜像、文件拷贝或云同步泄露 —— 如果没有对应操作系统用户的解密密钥，也无法直接读取数据库中的明文密码。这一机制有效防御了离线攻击场景，即攻击者仅获取了加密数据库文件但未获得操作系统用户上下文的情况。

（2.2）应用绑定加密的引入与局限

在传统的数据保护 API 方案下，任何以当前用户身份运行的进程都可以请求解密浏览器密码数据库的密钥，这意味着即使用户运行了一个看似无害的应用程序，该程序在理论上也可以调用操作系统 API 获取密钥并解密浏览器密码。为了缩小这一攻击面，Chrome 在 Windows 平台的较新版本中引入了应用绑定加密。该机制将解密密钥的访问权限与 Chrome 应用本身绑定，而非仅仅绑定到当前用户。具体而言，加密密钥被封装为只有 Chrome 进程能够解封的形式，其他应用即使以当前用户身份运行，也无法通过标准 API 请求获得可用的解密密钥。

应用绑定加密是浏览器密码管理器安全机制的一项重要改进，它有效防御了 "任意用户级进程窃取浏览器密码" 这一传统攻击路径。然而，这一机制并非无懈可击。其核心局限在于，应用绑定加密仍然运行在操作系统内核之上，如果攻击者获得的不是普通用户级权限，而是能够进行进程注入、内存读取或内核级操作的更高权限，应用绑定加密所依赖的进程隔离边界同样可以被突破。此外，恶意软件可以通过钩子技术注入 Chrome 进程本身，在 Chrome 的地址空间内执行代码，从而以 Chrome 的身份请求解密密钥，绕过应用绑定的限制。该报道中提到的信息窃取恶意软件之所以仍然能够成功提取 Chrome 密码，部分原因正是在于这些恶意软件采用了进程注入或内存读取等手段，在 Chrome 进程内部完成解密操作。

（2.3）使用时的身份认证与泄露检测

除了存储层面的加密保护，Chrome 在密码的使用和管理环节也设置了安全措施。当用户试图在设置界面查看已保存的明文密码时，Chrome 会要求用户进行设备身份认证 —— 在 Windows 上可能是 Windows Hello 或系统账户密码，在 macOS 上是系统密码或 Touch ID—— 以防止他人在用户离开设备时直接查看密码。这一机制在物理访问场景下提供了额外保护，即使用户的设备处于登录状态，未经授权的物理访问者也无法直接浏览保存的密码。

Chrome 还提供了密码泄露检测功能，定期将保存的密码（经过哈希处理后）与已知的数据泄露数据库进行比对，当发现某个密码出现在泄露记录中时，提醒用户及时修改。这一功能属于事后补救性质的安全措施，它不能防止密码被窃取，但可以帮助用户在密码已经泄露后尽快采取行动，降低被攻击者利用的时间窗口。此外，Chrome 在自动填充时执行域名匹配，将保存的密码与该密码所属的网站域名关联，当用户访问的网站域名与保存记录不匹配时，不会自动填充密码。这一机制在一定程度上防御了钓鱼攻击，即攻击者搭建与合法网站外观相似但域名不同的仿冒站点时，浏览器不会自动将密码填入仿冒站点的表单。

（2.4）防护机制的共同前提：设备可信

综合以上分析可以看出，Chrome 内置密码管理器部署了多层防护机制，这些机制在设计上是合理的，在设备处于安全状态时能够有效防御多种攻击场景。然而，所有这些机制都共享一个隐含的前提假设：运行浏览器的设备本身是可信的，没有被恶意软件感染，没有被攻击者获得超出正常用户范围的执行权限。本地加密依赖操作系统密钥保护，而操作系统密钥保护在用户级恶意软件面前存在被绕过的可能；应用绑定加密依赖进程隔离，而进程隔离在进程注入和内存读取技术面前可以被突破；使用时的身份认证只能防御物理访问场景，对已经在设备上运行的恶意软件无效；泄露检测属于事后补救，无法防止密码被正在运行的恶意软件实时窃取。

这一 "设备可信" 前提在日常使用中通常成立 —— 大多数用户的设备在大多数时间内没有被恶意软件感染。但安全模型的有效性不应以 "通常情况" 为衡量标准，而应以 "最坏情况" 为评估基准。一旦设备沦陷，浏览器密码管理器的所有防护机制几乎同时失效，存储在其中的所有凭证面临一次性集中暴露的风险。该报道作者正是基于对这一最坏情况的考量，做出了从浏览器密码管理器迁移到专用密码管理器的决定。

（3）设备沦陷场景下的浏览器凭证攻击路径

（3.1）信息窃取恶意软件的兴起与技术成熟

设备沦陷场景下对浏览器密码的攻击，主要由信息窃取类恶意软件实施。这类恶意软件的核心功能是在受感染设备上收集各类敏感信息，包括浏览器保存的密码、浏览器 Cookie、加密货币钱包、文件、系统信息等，并将收集到的数据发送到攻击者控制的服务器。近年来，信息窃取恶意软件已经从早期的技术门槛较高的定制化工具，演变为地下市场上商品化、即买即用的标准化产品。该报道中提及的 Agent Tesla 和 RedLine 是其中具有代表性的两个家族。

Agent Tesla 是一款自 2014 年以来持续活跃的信息窃取恶意软件，主要通过钓鱼邮件附件传播，能够窃取包括 Chrome、Firefox、Edge、Opera 等主流浏览器在内的数十种应用程序保存的密码和 Cookie，同时具备键盘记录、截图、文件收集等功能。RedLine 是一款在 2020 年之后迅速崛起的信息窃取恶意软件，在地下网络犯罪市场以相对低廉的价格售卖，操作界面友好，攻击者无需深厚的技术背景即可部署使用，其核心功能同样包括浏览器密码和 Cookie 的批量提取。除了这两个家族，Raccoon、Vidar、Lumma 等信息窃取恶意软件也在近年来频繁活跃，形成了一个竞争充分、迭代迅速的地下产品生态。

这些恶意软件的技术成熟度体现在几个方面。第一，它们支持的浏览器和应用范围极广，几乎覆盖了所有主流浏览器和常见的即时通讯、邮件、加密货币钱包应用，攻击者不需要为不同目标开发不同的提取模块。第二，它们的提取逻辑经过了长期迭代优化，能够适应浏览器版本更新带来的存储格式变化，保持较高的提取成功率。第三，它们通常具备反检测和反分析能力，能够在一定程度上规避终端安全软件的检测，延长在受感染设备上的存活时间。第四，它们将窃取的数据按照标准化格式整理打包，方便攻击者在地下市场进行二次售卖或直接利用。

（3.2）浏览器密码数据库的提取与解密技术链

信息窃取恶意软件提取浏览器密码的技术链路可以拆解为定位数据库文件、获取解密密钥、解密密码数据三个步骤。在定位数据库文件方面，主流浏览器的密码数据库文件存储位置是公开且固定的。Chrome 在 Windows 上的密码数据库文件位于用户目录下的特定路径，文件名为固定名称，格式为 SQLite 数据库。恶意软件只需按照已知路径直接读取该文件，即可获得加密后的密码数据。由于该文件归当前用户所有，以当前用户身份运行的恶意软件天然具备读取权限，不需要任何提权操作。

在获取解密密钥方面，如前文所述，Chrome 传统上使用操作系统数据保护 API 保护加密密钥，恶意软件可以调用相同的 API 以当前用户身份请求解密密钥。在 Chrome 引入应用绑定加密之后，这一直接调用 API 的路径被阻断，但恶意软件发展出了替代方案。一种方案是进程注入，将恶意代码注入 Chrome 进程内部，在 Chrome 的地址空间中执行，从而以 Chrome 的身份访问加密密钥和已解密的密码数据。另一种方案是内存读取，Chrome 在运行过程中需要将密码解密后用于自动填充，解密后的明文密码会短暂存在于 Chrome 进程的内存中，恶意软件可以通过读取 Chrome 进程内存的方式直接抓取明文密码，完全绕过加密和解密环节。还有一种方案是利用浏览器调试接口或扩展机制，在浏览器内部执行脚本获取保存的密码。

在解密密码数据方面，一旦获得了正确的解密密钥，密码数据库的解密就是一个标准的对称解密操作，没有技术难度。恶意软件内置了对应浏览器版本的解密逻辑，能够自动识别数据库格式并批量解密所有记录。整个提取过程从恶意软件启动到完成所有浏览器密码的收集，通常只需要数秒到数十秒，用户几乎不可能在这个时间窗口内察觉并中断。

该报道准确指出，从浏览器窃取凭证是一项已经确立的成熟技术，攻击者已经针对 Chrome、Firefox、Edge、Safari 等所有主流浏览器开发了对应的提取工具。这意味着，无论用户选择哪一款浏览器，只要设备被信息窃取恶意软件感染，浏览器中保存的密码都面临被提取的风险，浏览器品牌之间的差异在设备沦陷场景下已经不再具有安全意义。

（3.3）浏览器 Cookie 窃取与会话劫持

除了直接窃取保存的密码，信息窃取恶意软件还普遍窃取浏览器 Cookie，这一攻击路径在某些情况下比窃取密码更具威胁。Cookie 是网站在用户浏览器中存储的小型数据片段，其中包含会话标识等用于维持登录状态的信息。当用户在某个网站登录后，网站会在浏览器中设置一个包含会话标识的 Cookie，后续用户访问该网站时，浏览器自动携带这个 Cookie，网站据此识别用户身份并保持登录状态，无需用户每次重新输入密码。

如果攻击者窃取了包含有效会话标识的 Cookie，就可以在不需要知道用户密码的情况下，将该 Cookie 注入自己的浏览器，直接以用户的身份访问已登录的网站账户。这种攻击方式被称为会话劫持，它的优势在于完全绕过了密码验证环节，即使账户启用了多因素认证，会话劫持仍然可能成功 —— 因为多因素认证通常只在登录时要求验证，而会话劫持利用的是已经完成认证的现有会话。该报道特别提到了这一风险，指出攻击者可以针对浏览器 Cookie，有时能够利用现有登录会话访问账户而不需要知道密码。

Cookie 窃取的技术难度甚至低于密码窃取。浏览器 Cookie 同样存储在本地固定路径的数据库文件中，且多数浏览器的 Cookie 数据库加密强度低于密码数据库，部分浏览器甚至以明文形式存储部分 Cookie。信息窃取恶意软件普遍将 Cookie 窃取作为标准功能，窃取的 Cookie 数据在地下市场上可以直接售卖，购买者可以利用这些 Cookie 访问对应的账户。对于银行、社交媒体、电子邮件等高价值账户，有效的会话 Cookie 在地下市场上可以卖出可观的价格。

（3.4）集中存储的系统性风险

浏览器密码管理器的另一个结构性风险在于集中存储带来的系统性暴露。普通用户通常在浏览器中保存数十个甚至上百个账户的登录凭证，涵盖电子邮件、社交媒体、网上银行、购物平台、工作账户、云存储等各类服务。所有这些凭证集中存储在同一个浏览器密码数据库中，共享同一套加密密钥和同一套安全边界。这意味着，一旦攻击者突破了浏览器密码存储的安全边界 —— 无论是通过窃取数据库文件和密钥，还是通过内存读取，还是通过 Cookie 窃取 —— 所有存储在其中的凭证一次性全部暴露，攻击者不需要为每个账户单独实施攻击。

这种 "一损俱损" 的集中式风险模型与安全领域的最小权限原则和隔离原则存在内在冲突。最小权限原则主张每个组件只应获得完成其功能所必需的最少权限，隔离原则主张不同安全域的资产应当相互隔离以限制故障扩散范围。浏览器密码管理器将所有账户凭证集中在同一个安全域内，一旦该安全域被突破，攻击影响范围不受限制地扩散到所有账户。对于用户而言，这意味着一次设备感染事件可能导致其全部数字身份的沦陷，后续的恢复成本 —— 包括逐个账户重置密码、清理未授权访问、修复被篡改的信息、防范身份欺诈 —— 极其高昂。

该报道中提到的 "把所有东西放在一个地方的更广泛担忧" 正是对这一系统性风险的准确概括。如果用户有几十个保存的登录信息在浏览器中，入侵那个密码存储就可能一次性暴露多个账户的凭证。这种集中暴露的风险是浏览器内置密码管理器在安全模型层面的固有缺陷，无法通过改进加密算法或增强身份认证来根本解决，因为问题的根源不在于保护强度，而在于资产集中化的架构设计。

（4）专用密码管理器的安全边界差异

（4.1）独立进程与隔离存储的安全意义

专用密码管理器相对于浏览器内置方案的核心安全优势，在于其通过独立进程和隔离存储实现了与浏览器环境的安全边界分离。专用密码管理器作为独立的应用程序运行，拥有自己的进程空间、自己的加密数据库、自己的主密码保护机制，不与浏览器共享进程地址空间或存储路径。这种架构设计使得针对浏览器的攻击 —— 包括利用浏览器漏洞、注入浏览器进程、读取浏览器内存、窃取浏览器文件 —— 不会直接波及密码管理器中存储的凭证。

在设备沦陷场景下，这种隔离的安全意义需要客观评估。如果恶意软件获得的是普通用户级权限，它理论上仍然可以尝试读取专用密码管理器的数据库文件、注入密码管理器进程、读取密码管理器内存。但是，专用密码管理器在设计上通常采取了比浏览器更严格的安全措施来对抗这些攻击：其数据库使用基于主密码派生的强加密密钥，而非依赖操作系统的密钥保护机制，即使攻击者获取了数据库文件，没有主密码也无法解密；其进程通常受到反注入和反调试保护，增加了进程注入的难度；其在内存中仅在用户主动解锁后的有限时间内保留明文凭证，超时后自动锁定并清除内存中的敏感数据；其自动填充功能通过安全的进程间通信机制与浏览器交互，而非将密码数据直接暴露给浏览器进程。

这些措施不能保证专用密码管理器在设备沦陷场景下绝对安全 —— 如果攻击者获得了内核级权限或能够部署键盘记录器，主密码本身可能被窃取，密码管理器的防护同样可能被突破。但专用密码管理器显著提高了攻击的技术门槛和时间成本，使得普通的商品化信息窃取恶意软件难以直接提取其中的凭证。该报道作者选择迁移到专用密码管理器，正是基于对这种安全边界差异的认可：在浏览器环境中，凭证与攻击面处于同一安全域；在专用密码管理器中，凭证与浏览器攻击面之间多了一道隔离边界。

（4.2）主密码机制与零知识架构

专用密码管理器的另一个关键安全特征是主密码机制和零知识架构。主流专用密码管理器要求用户设置一个主密码，该主密码是解密密码数据库的唯一密钥来源，通过密钥派生函数从主密码派生出加密密钥。密码管理器服务商本身不存储用户的主密码，也无法访问用户的明文密码数据，数据库在上传到云端同步之前已经在本地完成加密，服务商只能看到加密后的密文。这种架构被称为零知识架构，意味着即使服务商的服务器被攻破，攻击者获得的也只是无法解密的密文数据，不会泄露用户的明文密码。

这一架构与浏览器密码管理器的云端同步机制形成了对比。当用户启用 Chrome 的密码同步功能时，保存的密码会被上传到 Google 账户的云端存储，虽然 Google 对同步数据进行了加密，但加密密钥的管理方式与专用密码管理器的零知识架构存在差异。该报道指出，如果通过浏览器账户同步密码，该账户成为安全链的另一环 —— 一旦 Google 账户被攻击者攻破，所有同步到云端的密码都可能面临暴露风险。专用密码管理器的零知识架构将这一风险降至最低，因为即使密码管理器服务商的账户被攻破，攻击者也无法获得解密数据库所需的主密码。

当然，主密码机制也带来了新的风险点。主密码本身成为所有凭证的单一入口，如果主密码被泄露或被键盘记录器捕获，整个密码库的安全就会崩溃。因此，专用密码管理器通常建议用户设置强度极高的主密码，并启用多因素认证来保护密码管理器账户本身。主密码的安全性成为整个凭证管理体系的基石，这是使用专用密码管理器必须承担的安全责任。

（4.3）自动填充策略与钓鱼防护的差异

专用密码管理器与浏览器内置密码管理器在自动填充策略上的差异，是一个与钓鱼攻击防护密切相关但经常被忽视的安全维度。反网络钓鱼技术专家芦笛指出，浏览器自动填充机制在域名匹配的严格程度上存在改进空间，部分浏览器在面对子域名变体、国际化域名同形异义字攻击、以及 HTTPS 与 HTTP 混合页面时，可能出现误填充或填充条件判断不够严格的情况。虽然 Chrome 在域名匹配方面已经做了大量工作，但浏览器作为通用网页渲染平台，需要兼容各种复杂的网页场景，其自动填充逻辑不得不在安全性与兼容性之间做出权衡，这就为钓鱼攻击留下了可利用的缝隙。

专用密码管理器在自动填充策略上通常采取更保守、更严格的立场。多数专用密码管理器要求用户在填充前手动确认，不会在页面加载时自动填充；其域名匹配逻辑通常只匹配完整的注册域名，不接受子域名或近似域名的填充请求；部分产品在检测到页面特征与保存记录不匹配时，会弹出额外的安全警告。这些更严格的填充策略在一定程度上增加了使用步骤，但也降低了钓鱼站点通过诱导自动填充获取凭证的可能性。

迪妙网安研究团队在钓鱼攻击与凭证管理器交互场景的研究中发现，当用户同时使用浏览器密码管理器和访问钓鱼页面时，浏览器的自动填充行为可能在用户尚未意识到页面异常的情况下就将凭证提交给钓鱼站点；而使用专用密码管理器时，由于需要用户手动触发填充并确认域名匹配，用户有更大的概率在填充前发现页面异常。这一差异虽然不能从根本上防御钓鱼攻击 —— 如果用户主动在钓鱼页面输入密码，任何密码管理器都无法阻止 —— 但它在自动填充这一特定场景下提供了额外的安全缓冲。

（5）用户凭证管理策略的选择路径

（5.1）安全需求的分层评估

面对浏览器内置密码管理器和专用密码管理器之间的选择，用户不应当简单地认为某一种方案绝对安全或绝对不安全，而应当根据自身的安全需求、威胁模型和使用场景进行分层评估。不同用户面临的威胁等级不同，对安全性的需求也不同，凭证管理策略应当与实际威胁模型相匹配，而非盲目追求最高安全级别。

对于安全需求较低的普通用户 —— 例如主要使用设备进行日常浏览、社交媒体和少量购物，账户中不存储高价值资产，设备使用习惯良好，不随意下载未知来源软件 —— 浏览器内置密码管理器在多数情况下已经能够提供足够的安全保障。这类用户面临设备沦陷的概率相对较低，而专用密码管理器带来的额外安全收益可能不足以抵消其学习成本和使用不便。对于这类用户，更重要的是确保操作系统和浏览器保持更新、启用浏览器的安全功能、不随意授予未知应用权限，这些基础安全措施的实际防护效果可能优于切换到专用密码管理器。

对于安全需求中等的用户 —— 例如拥有较多在线账户、部分账户涉及金融或工作信息、经常在不同设备间同步密码、对个人数据安全有一定关注 —— 专用密码管理器能够提供有意义的安全提升。这类用户的凭证集中暴露风险较高，一旦设备沦陷可能造成较大损失，专用密码管理器的隔离存储和零知识架构能够显著降低这种风险。同时，这类用户通常具备一定的技术学习能力，能够适应专用密码管理器的使用方式。

对于安全需求较高的用户 —— 例如从事敏感行业工作、账户中存储高价值资产、经常处理机密信息、面临定向攻击风险 —— 专用密码管理器几乎是必然选择，且应当配合其他高强度安全措施使用，包括启用多因素认证、使用硬件安全密钥、定期审查账户登录活动、限制密码管理器的设备授权范围等。对于这类用户，浏览器内置密码管理器的安全边界不足以应对其面临的威胁等级。

（5.2）三层防护架构的构建

迪妙安全研究团队在终端凭证安全方向的研究中提出，普通用户在现有技术条件下可以通过构建 "设备安全基线 — 凭证隔离存储 — 多因素认证兜底" 的三层防护架构，在便利性与安全性之间取得合理平衡。

第一层是设备安全基线。这一层的目标是降低设备被恶意软件感染的概率，从源头上减少凭证暴露的威胁场景。具体措施包括：保持操作系统和浏览器的及时更新，及时修补已知安全漏洞；只从官方应用商店或可信来源下载软件，避免运行来源不明的可执行文件；启用操作系统自带的终端防护功能，不随意关闭安全警告；对电子邮件附件和即时通讯文件保持警惕，不打开可疑附件；不随意授予应用程序不必要的权限，尤其是设备管理员权限和辅助功能权限。设备安全基线是整个防护架构的基础，如果设备本身频繁被恶意软件感染，后续任何凭证管理措施的效果都会大打折扣。

第二层是凭证隔离存储。这一层的目标是在设备安全基线被突破的情况下，限制凭证暴露的范围和影响。具体措施包括：使用专用密码管理器替代浏览器内置密码管理器，将凭证存储与浏览器环境隔离；设置强度足够的主密码，主密码应当独特且不与任何在线账户密码重复；启用密码管理器的自动锁定功能，在空闲一段时间后自动锁定密码库并清除内存中的明文数据；谨慎使用密码同步功能，只在受信任的设备上安装和授权密码管理器；定期审查密码管理器中保存的凭证，删除不再使用的账户记录，减少暴露面。凭证隔离存储是三层架构中承上启下的关键层，它在设备安全和账户安全之间提供了一道独立的缓冲。

第三层是多因素认证兜底。这一层的目标是在凭证已经泄露的情况下，仍然阻止攻击者成功登录账户。具体措施包括：为所有重要账户启用多因素认证，优先使用基于时间的一次性密码或硬件安全密钥，避免使用短信验证码作为唯一的第二因素；为电子邮件账户设置最强的保护措施，因为电子邮件通常是其他账户密码重置的通道；定期审查账户的登录活动和已授权设备，及时撤销不认识的会话和设备；为高价值账户启用异常登录提醒，在检测到可疑登录时及时收到通知并采取行动。多因素认证是整个防护架构的最后一道防线，即使前两层都被突破，只要多因素认证有效，攻击者仍然无法完成账户登录。

三层防护架构的核心理念是纵深防御：不依赖任何单一措施提供绝对安全，而是通过多层防护的叠加，使攻击者需要同时突破多道防线才能达成目标，从而显著提高攻击成本和失败概率。该报道作者从浏览器密码管理器迁移到专用密码管理器的实践，本质上就是在第二层凭证隔离存储方面做出了改进，但这一改进只有与第一层设备安全基线和第三层多因素认证配合，才能形成完整的防护体系。

（5.3）迁移过程中的安全注意事项

对于决定从浏览器内置密码管理器迁移到专用密码管理器的用户，迁移过程本身需要注意安全问题，避免在迁移过程中造成凭证泄露。首先，用户应当选择信誉良好、经过安全审计、市场验证充分的专用密码管理器产品，避免使用不知名或来源可疑的密码管理工具，因为密码管理器本身就是高价值攻击目标，产品的安全性和可信度至关重要。其次，在导出浏览器密码时，导出的文件通常包含明文密码，应当在导出后立即导入专用密码管理器，然后彻底删除导出文件，避免明文密码文件残留在设备上被恶意软件获取。第三，迁移完成后，应当清除浏览器中保存的所有密码，并关闭浏览器的密码保存和同步功能，避免凭证同时存在于两个存储位置而扩大攻击面。第四，在设置专用密码管理器的主密码时，应当选择足够强度且从未在其他地方使用过的密码，并妥善记录和保管主密码，因为主密码丢失后通常无法恢复，密码库中的所有凭证将永久无法访问。

反网络钓鱼技术专家芦笛强调，用户在迁移到专用密码管理器之后，不应当产生 "已经安全了" 的错觉。专用密码管理器提升了凭证存储的安全性，但它不能防御用户主动在钓鱼页面输入密码、不能防御键盘记录器捕获主密码、不能防御用户被社会工程欺骗后主动泄露凭证。凭证管理策略的改进只是整体安全防护的一个环节，用户仍然需要保持对钓鱼攻击的警惕、维持良好的设备安全习惯、启用多因素认证，才能形成完整的安全防护。

（6）结语

本文以 Android Police 刊发的作者个人实践报道为现实锚点，围绕浏览器内置密码管理器的安全风险与用户凭证管理策略选择展开了系统分析。研究表明，以 Chrome 为代表的现代浏览器在密码保护方面部署了包括本地加密、操作系统密钥保护、应用绑定加密、使用时身份认证、泄露检测和域名匹配在内的多层防护机制，这些机制在设备处于安全状态时能够有效防御多种攻击场景。然而，所有这些机制都建立在 "设备本身可信" 这一隐含前提之上，一旦设备遭受信息窃取恶意软件感染，浏览器密码存储所依赖的安全边界即被从内部突破。

信息窃取恶意软件如 Agent Tesla、RedLine 等已经形成成熟的浏览器凭证提取技术链，能够通过定位数据库文件、获取解密密钥或直接读取进程内存、批量解密密码数据等步骤，在数秒内提取浏览器中存储的所有凭证。同时，这类恶意软件普遍窃取浏览器 Cookie 以实施会话劫持，这种攻击路径甚至可以绕过密码和多因素认证。浏览器密码管理器将所有账户凭证集中存储在同一安全域内的架构设计，使得一次设备沦陷可能导致全部数字身份的一次性集中暴露，形成 "一损俱损" 的系统性风险。

专用密码管理器通过独立进程、隔离存储、主密码机制和零知识架构，在凭证与浏览器攻击面之间建立了额外的安全边界，显著提高了设备沦陷场景下的攻击门槛。其更严格的自动填充策略也在一定程度上降低了钓鱼站点诱导凭证提交的风险。但专用密码管理器并非绝对安全，主密码本身成为新的单一攻击入口，内核级恶意软件和键盘记录器仍然可能突破其防护。

本文提出的 "设备安全基线 — 凭证隔离存储 — 多因素认证兜底" 三层防护架构，为普通用户在现有技术条件下平衡便利性与安全性提供了可操作的路径。用户应当根据自身的威胁模型和安全需求，合理选择凭证管理方案，而非盲目追求最高安全级别或完全依赖浏览器的默认设置。凭证安全是数字身份安全的基石，在密码仍然是主流身份验证手段的当下，建立合理的凭证管理策略和纵深防御架构，是每一个互联网用户都应当重视的基础安全实践。

本文的分析主要基于安全模型推演和攻击技术链路分析，受限于终端恶意软件感染率和凭证管理器市场渗透率等数据的可获得性，未开展大规模量化统计。未来研究可以进一步结合真实世界的信息窃取恶意软件样本分析、不同密码管理器产品的安全对比测试、以及用户凭证管理行为的大规模调研，对本文提出的分析框架和防护策略进行量化验证和细化。随着通行密钥等无密码技术的逐步普及，凭证管理的技术格局正在发生变化，浏览器和专用密码管理器在新的身份验证范式下将如何演进，也是值得持续关注的研究方向。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院