你可能觉得，既然你的电脑有开机密码，你的 Google 账号有两步验证，你的浏览器数据就一定是安全的，对吧？
很遗憾，这是一个巨大的误解。
如果你是一个技术极客，或者哪怕只是稍微懂一点电脑，当你打开 Chrome（以及 Edge、Brave 等所有 Chromium 内核浏览器）的后台文件夹时，你会发现一个令人脊背发凉的事实：
你的浏览历史（History）、书签（Bookmarks）甚至缓存（Cache），全都静静地躺在毫无加密的 SQLite 数据库文件里。不需要黑客技术，用个记事本或者免费的数据库软件就能直接看光。
为什么像 Google 这样拥有顶尖安全团队的公司，会允许这种看似“低级”的设计存在？
一、 核心逻辑：把锅甩给操作系统
浏览器的安全设计哲学可以用一句话概括：“我只是个软件，保护文件的责任在操作系统，不在我。”
这就是所谓的 “操作系统信任模型”（OS Trust Model）。
- 浏览器的假设： 如果有人能打开你的电脑并登录你的账户，说明这人就是你（或者你已经授权的人）。
- 推论： 既然是你本人，那我为什么要防你？
- 后果： 浏览器认为，只要攻破了 Windows/macOS 的登录密码，里面的数据理应是向用户敞开的。所以，它根本没想过给历史记录加把锁。
二、 速度至上：加密是性能的杀手
除了甩锅，Google 不加密本地数据的另一个核心原因是：极致的快。
回想一下你在 Chrome 地址栏（Omnibox）输入网址时的体验：你只敲了一两个字母，浏览器就能在毫秒级的时间内，从你过去几年积累的数万条历史记录和书签中，精准地联想出你想要的结果。
如果数据是加密的，这就不可能实现：
- 每次你敲键盘，CPU 都要先解密巨大的数据库，再检索，再加密回去。
- 这会导致肉眼可见的卡顿和延迟。
为了让你感觉“丝般顺滑”，Google 毫不犹豫地选择了牺牲静态存储的安全性，来换取检索的性能。
三、 虚假的加密：密码和 Cookie 的防线
“等等，那我的密码呢？Chrome 总不能明文保存密码吧？”
你是对的，Chrome 确实加密了 Login Data（密码）和 Cookies。但是，这把锁是防君子不防小人的。
- 加密机制： Chrome 使用操作系统提供的密钥（Windows 的 DPAPI 或 macOS 的 Keychain）来加密这些数据。
- 致命漏洞： 只要程序是以你的用户身份运行的，操作系统就会默认你是合法的，乖乖交出密钥进行解密。
这引出了当今互联网最大的安全威胁之一：InfoStealer（窃密木马）。
四、 窃密木马的工作原理：降维打击
正是因为浏览器的这种“甩锅”和“假加密”，催生了一个庞大的黑产行业。
当你下载了一个破解游戏、外挂或者假冒软件时，窃密木马（如 RedLine, Raccoon）悄悄进场了：
- 潜伏： 因为是你双击运行的，木马拥有和你一样的系统权限。
- 打包： 木马直奔 Chrome 的
User Data文件夹。
- 直接复制
History和Bookmarks（明文，拿来即用）。 - 请求系统解密
Cookies和Login Data（系统以为是你请求的，直接放行）。
- 上传： 木马把这些数据打包上传给黑客。
最可怕的后果：Session Hijacking（会话劫持）
黑客拿到你的 Session Cookie 后，可以导入到他们自己的浏览器里。此时，服务器会认为黑客就是你。 哪怕你开启了短信验证码或两步验证（2FA），黑客也能免密直接登录你的亚马逊、Facebook 甚至某些银行账户。
五、 唯一的“异类”：Firefox 的主密码
在主流浏览器中，Firefox 提供了一个名为 “主密码”（Primary Password） 的功能。
如果你开启了它，Firefox 会用这个独立的密码加密本地数据。即使木马进来了，没有这个主密码，它也偷不走你的账号。但遗憾的是，为了便利性，绝大多数用户从未开启过这个功能。
六、 如何自救？不要把浏览器当保险箱
既然我们改变不了浏览器的设计，我们就必须改变自己的使用习惯。
- 断舍离： 绝对不要在浏览器里保存重要密码（银行、主邮箱、云服务）。
- 使用专业工具： 请使用 1Password、Bitwarden、KeePass 等专业的密码管理器。
- 它们的数据库是独立加密的。
- 即使电脑中了木马，文件被偷走，黑客没有你的主密码也只能看着一堆乱码发呆。
- 随手关门： 对于重要网站，不要勾选“记住我”。用完即登出（Log out），这能让 Session Cookie 立即失效，防止被盗用。
- 定期清理： 养成定期清理浏览器 Cookie 和缓存的习惯，减少留存在本地的敏感信息足迹。
总结一下：浏览器是用来“展示信息”的橱窗，不是用来“存储资产”的保险箱。别为了省那几秒钟输密码的时间，把自己的数字人生拱手让人。
版权属于：soarli
本文链接：https://blog.soarli.top/archives/803.html
转载时须注明出处及本声明。
