密碼管理器與瀏覽器儲存密碼的比較
Chrome、Safari 和 Edge 都提供儲存密碼的功能——但與專用密碼管理器相比如何？我們全面比較安全性、功能與限制。
Chrome、Safari 和 Edge 都提供儲存密碼的功能——但與專用密碼管理器相比如何？我們全面比較安全性、功能與限制。
當 Chrome、Safari、Firefox 或 Edge 提議「儲存您的密碼」時，它會將您的憑證儲存在與瀏覽器設定檔相連的本地資料庫中。在 Chrome 中，這些資料以 SQLite 資料庫形式存放於您的裝置，若您已登入 Google 帳戶，則透過 Google 帳戶同步至 Google 的伺服器。Safari 將密碼儲存在 macOS 和 iOS 的 Keychain 系統中，並透過 iCloud Keychain 在 Apple 裝置之間同步。這意味著您的密碼可跨裝置存取——但它們與特定的生態系統掛鈎。
瀏覽器儲存密碼的安全性因瀏覽器和設定而異。Chrome 使用作業系統的內建憑證儲存（Windows 上的 DPAPI，macOS 上的 Keychain）加密儲存的密碼。然而，在 Windows 上，這種加密與您的 Windows 使用者工作階段綁定——任何以相同使用者身份執行的應用程式都可能在無需主密碼或額外驗證的情況下解密您儲存的密碼。這是與需要明確解鎖保險庫的專用密碼管理器相比的重大弱點。
近年來，瀏覽器密碼管理器已有顯著改進。Google 密碼管理器現在包含密碼強度檢查、透過 Google 資料庫進行洩露監控，以及生成隨機密碼的功能。Apple 的 iCloud Keychain 透過生物特徵驗證在 Apple 裝置之間提供強力整合。然而，在批判性審視下，兩者在功能和安全性上仍明顯不及專用密碼管理器。
瀏覽器儲存密碼最嚴重的安全弱點在於，它們與瀏覽器本身共用攻擊面。惡意瀏覽器擴充功能——其數量日益增多，且並非總能經過瀏覽器擴充功能商店的嚴格審查——可以存取瀏覽器的密碼庫。包括 RedLine Stealer 和 Raccoon Stealer 在內的多種資訊竊取惡意軟件（malware），專門針對瀏覽器儲存的憑證，並可將整個密碼資料庫洩露至攻擊者控制的伺服器。一旦獲取您的瀏覽器憑證庫，他們便掌握了一切。
實體存取是另一個重大風險。在 Windows 上，存取 Chrome 儲存的密碼只需能存取使用者的 Windows 工作階段——沒有單獨的保險庫主密碼。若有人坐在您未鎖定的電腦前，便可透過瀏覽器設定頁面以明文查看所有 Chrome 儲存的密碼。帶有單獨主密碼的專用密碼管理器提供了額外的保護層，需要明確驗證才能存取。
跨平台限制也會造成實際的安全問題。若您在工作中使用 Windows 上的 Chrome，而在 iPhone 上使用 Safari，您的密碼便分散在兩個獨立的系統中。這往往導致用戶只在部分帳戶中儲存密碼，造成不一致性，可能導致密碼重複使用或使用弱備用密碼。專用密碼管理器使用單一統一的保險庫，能無縫地在所有瀏覽器和所有平台上運作。
專用密碼管理器提供瀏覽器方案根本無法匹敵的功能。帶有獨立主密碼的單獨加密保險庫意味著，即使您的裝置、瀏覽器或 Google/Apple 帳戶遭到入侵，攻擊者在沒有主密碼的情況下仍無法存取您的密碼。這種縱深防禦方法大大限制了任何單一入侵事件的波及範圍。保險庫在靜止狀態下使用 AES-256 加密，採用零知識架構——即使是密碼管理器公司本身也無法解密。
跨平台和跨瀏覽器功能是另一大優勢。專用密碼管理器可同時與 Chrome、Firefox、Safari、Edge 和 Brave 配合使用，適用於 Windows、macOS、iOS、Android 和 Linux，並可在行動應用程式（而非僅瀏覽器視窗）中自動填寫密碼。您可以從任何裝置存取保險庫，從 iPhone 換到 Android 手機或從 macOS 換到 Windows 也無需任何遷移工作——保險庫只需透過管理器的應用程式同步至新裝置即可。
瀏覽器管理器所缺乏的高級功能包括：儲存密碼以外敏感資訊的安全備忘錄；加密檔案附件；在不透露明文的情況下與他人安全分享密碼；允許指定信任聯絡人在您無法操作時存取保險庫的緊急存取功能；以及在過境時從裝置移除敏感保險庫、安全回國後恢復的旅行模式功能。
從瀏覽器儲存的密碼遷移至專用密碼管理器非常簡單，大多數用戶不到一小時即可完成。Chrome 和 Safari 都提供匯出選項，可生成包含所有已儲存憑證的 CSV 檔案——在 Chrome 中，前往「設定」→「密碼」→「匯出」；在 Safari 中，前往「偏好設定」→「密碼」→「匯出」。包括 Bitwarden 和 1Password 在內的大多數專用密碼管理器都有接受此 CSV 格式的匯入工具，可在幾分鐘內填充您的新保險庫。
匯入後，關鍵步驟是刪除原始瀏覽器儲存的密碼並停用瀏覽器的內建密碼儲存功能。在 Chrome 中，前往「設定」→「密碼」，關閉「詢問是否儲存密碼」並從列表中刪除所有儲存的密碼。這可防止密碼同時儲存在兩個地方的情況，避免混亂並確保您只維護一個系統。之後將瀏覽器設定為使用您的專用管理器擴充功能處理所有密碼儲存和自動填寫。
您也應藉此機會審查已匯入的內容。瀏覽器密碼管理器往往積累了重複項目、已不再使用的網站的過時密碼，以及弱密碼和重複使用的密碼。您新的專用管理器的安全稽核功能將標記這些問題供審查。將此次匯入作為進行完整密碼健康審查的契機：移除過時帳戶、將重複使用的密碼更改為管理器生成的唯一密碼，並為高優先級帳戶啟用雙重驗證。
