Cyberpediaod Brain
PLDEENESFRITNLPT

Firmowy menedżer haseł czy menedżer w przeglądarce

Firmowy menedżer haseł a menedżer wbudowany w przeglądarkę: czym się różnią, co robi pracownik i jakich pułapek unikać.

W 30 sekund

Gdzie to się zdarza
Przy każdym logowaniu do narzędzia służbowego, gdy przeglądarka proponuje „Zapisz hasło”.
Czego chce atakujący
Odzyskać dane logowania zapisane w przeglądarce, a następnie użyć ich w innych systemach lub kontach, by poszerzyć swój dostęp3.
Odruch
Do haseł służbowych używać wyłącznie menedżera udostępnionego przez Brain, włączyć uwierzytelnianie dwuskładnikowe i niczego nie zapisywać w przeglądarce.
Jeśli już się stało
Bez zwłoki zgłosić utratę lub kradzież urządzenia, a potem postępować zgodnie ze wskazówkami zespołu bezpieczeństwa, by zmienić odpowiednie hasła.

O co chodzi

Menedżer haseł to baza danych zaszyfrowana jednym hasłem „głównym”1. Odpowiada na częsty problem: pracownik zarządza dziesiątkami haseł, nie tylko tych służbowych, a wiele osób używa wciąż tego samego hasła lub wybiera hasła popularne, co wykorzystują atakujący2.

W pracy funkcjonują dwie rodziny narzędzi: menedżer, który udostępnia i administruje firma, oraz menedżer wbudowany w przeglądarkę. Na ekranie wyglądają podobnie, ale chronią w odmienny sposób, a firma nie ma nad nimi takiej samej kontroli.

Pytania wprost

Czym jest firmowy menedżer haseł?

To menedżer, którego użyciem steruje organizacja. Brytyjskie NCSC zauważa, że niektóre produkty oferują scentralizowane zarządzanie hasłami w organizacji i że rozwiązania te są zazwyczaj płatne2. Dane logowania są przechowywane w sejfie dostępnym po podaniu hasła głównego2. Administrator może ustalać zasady korzystania i widzieć ogólny obraz używania haseł2.

Czym różni się od menedżera w przeglądarce?

NCSC odróżnia menedżery będące samodzielną aplikacją od tych wbudowanych w przeglądarkę lub system operacyjny2. CISA zalicza menedżery wbudowane w przeglądarkę do menedżerów bezpłatnych4. Funkcje scentralizowanej administracji (kontrolowane udostępnianie, dzienniki, zasady) NCSC opisuje dla menedżerów firmowych2. NCSC wymienia zresztą wśród możliwych wyborów organizacji także zezwolenie pracownikom na zapisywanie haseł w przeglądarkach2: to więc Brain ustala zasadę, a zasada Brain brzmi: używać jego narzędzia.

Dlaczego nie zapisywać haseł służbowych w przeglądarce?

Przeglądarki zazwyczaj przechowują dane logowania w postaci zaszyfrowanej w osobnym magazynie, ale istnieją metody wydobycia z niego haseł w postaci jawnej3. W systemie Windows zaszyfrowane dane logowania Chrome można na przykład odczytać z pliku bazy danych, a następnie funkcja systemowa odszyfrowuje je za pomocą zapisanych w pamięci podręcznej danych logowania sesji ofiary3. Znane złośliwe oprogramowanie, takie jak Agent Tesla, zbiera dane logowania z wielu przeglądarek3. CNIL dodaje, by nigdy nie zapisywać haseł w przeglądarce komputera współdzielonego1.

Czy firmowy menedżer też może zostać zaatakowany?

Tak. NCSC mówi o tym wprost: menedżer może mieć luki i przyciąga atakujących, ponieważ udany atak daje dostęp do wszystkich zapisanych haseł2. Uważa jednak, że korzyści przeważają nad ryzykiem2. Hasło główne i uwierzytelnianie dwuskładnikowe chronią ten pojedynczy punkt dostępu.

Co zrobić, gdy urządzenie zginie lub zostanie skradzione?

Natychmiast zgłosić to zespołowi bezpieczeństwa. Procedura jest taka, jaką wskazuje Brain.

1Jak to działa1 min

Sejf jest zaszyfrowany. Według NCSC klucz deszyfrujący jest zazwyczaj wyprowadzany z hasła głównego i nie powinien być dostępny dla nikogo innego, nawet dla dostawcy usługi w przypadku menedżerów synchronizowanych w chmurze2. CNIL opisuje tę samą zasadę: baza danych zaszyfrowana jednym hasłem „głównym”, dzięki czemu wystarczy zapamiętać jedno hasło, a wszystkie pozostałe mogą być bardzo długie i różne1.

NCSC wymienia inne przydatne funkcje:

  • autouzupełnianie, które podpowiada dane logowania tylko stronie, dla której zostały zapisane, i może pomagać w obronie przed phishingiem, ponieważ menedżer lepiej od człowieka wykrywa fałszywe strony2;
  • generowanie haseł losowych, długich i unikalnych2;
  • audyt jakości haseł, który sygnalizuje na przykład hasło użyte ponownie2.

Dla firmy centralizacja dodaje udostępnianie haseł z dziennikiem dostępu i kontrolą sprawowaną przez osobę upoważnioną2. NCSC nie zaleca udostępniania haseł między osobami, ale przyznaje, że niektóre organizacje nie mogą jeszcze z niego zrezygnować; firmowy menedżer zmniejsza wtedy ryzyko2. Administratorzy nie powinni móc widzieć ani używać haseł indywidualnych poza grupą udostępniania, a ich dostęp powinien podlegać audytowi2.

2Co należy zrobić1 min
  • Do wszystkich haseł służbowych należy używać narzędzia udostępnionego przez Brain. NCSC zaleca organizacjom zapewnienie odpowiedniego sposobu przechowywania haseł i tam, gdzie to właściwe, zaleca menedżery haseł5.
  • Należy włączyć w menedżerze uwierzytelnianie dwuskładnikowe. Dzięki niemu atakujący musi znać hasło główne i mieć drugi składnik2. CNIL również zaleca uwierzytelnianie dwuskładnikowe, gdy usługa je oferuje1.
  • Nie należy zapisywać w przeglądarce żadnego hasła służbowego.
  • Hasła niech generuje narzędzie. CISA radzi stosować hasła długie (co najmniej 16 znaków), losowe i unikalne dla każdego konta4.
  • Na hasło główne należy wybrać frazę hasłową: CISA proponuje ciąg od 4 do 7 niepowiązanych ze sobą słów4.
  • Każdą utratę urządzenia należy zgłaszać.
3Pułapki2 min

Słabe hasło główne

Od niego zależy cały sejf. NCSC ostrzega, że jeśli użytkownik je zapomni, straci dostęp do wszystkich zapisanych haseł, a metoda odzyskiwania może zostać wykorzystana do dostępu do danych logowania2. Należy więc wybrać długą frazę, zapamiętaną z głowy i nigdy nie zapisaną w pliku ani na karteczce samoprzylepnej. CNIL zalicza karteczki samoprzylepne, pliki tekstowe, smartfon i pocztę elektroniczną lub komunikator do nośników nieprzeznaczonych do przechowywania haseł1.

Synchronizacja z kontem osobistym

Niektóre firmowe menedżery oferują osobisty sejf na konta prywatne. NCSC wymaga wtedy dobrego rozdzielenia: hasła służbowe nie mogą być dostępne z sejfu osobistego i odwrotnie2. Zauważa, że jeśli firma dopuszcza w pracy urządzenia osobiste lub konta osobiste, użytkownik nie zawsze widzi, z którego sejfu korzysta2. Przed włączeniem synchronizacji należy więc sprawdzić, czy nie miesza ona obu.

Eksport w postaci jawnej

Niektóre menedżery eksportują wszystkie hasła do pliku tekstowego. Po wyeksportowaniu, czy to przez uprawnionego użytkownika, czy przez atakującego, plik nie jest już chroniony2. Sejf wolno eksportować tylko wtedy, gdy zasada firmy na to pozwala, a z plikiem trzeba postępować tak, jak ta zasada wskazuje.

Phishing imitujący stronę logowania

Autouzupełnianie pomaga tutaj: menedżer podpowiada dane logowania tylko na zapisanej stronie2. Jeśli narzędzie nic nie podpowiada na stronie logowania, która powinna być znana, to sygnał ostrzegawczy. Nie należy przepisywać hasła ręcznie na podejrzanej stronie.

Sejf jako cel

NCSC przypomina, że menedżery, jak każde oprogramowanie zabezpieczające, nie są nieomylne i stanowią atrakcyjny cel5. Domaga się uwierzytelniania wieloskładnikowego we wszystkich menedżerach synchronizowanych w chmurze oraz dla kont uprzywilejowanych2.

4Dla dociekliwych1 min

Wersja 800-63-3 NIST, zastąpiona od 1 sierpnia 2025 r., zalecała, by usługi pozwalały na wklejanie w polach haseł6. CNIL opisuje menedżer jako bazę haseł zaszyfrowaną jednym hasłem „głównym”, którego bezpieczeństwo mogło zostać zweryfikowane1.

Karta

Identyfikator
CP-346
Skrzydło
5. Życie w biurze i odruchy
Kompetencja Brain
Opanować hasła (master_passwords)
Odruch Brain
cr-009
Schemat
G2 · Mit kontra rzeczywistość
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
  1. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026)
  2. NCSC (Royaume-Uni), „Password manager buyers guide”, 19 listopada 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®”, 12 lutego 2020. https://attack.mitre.org/techniques/T1555/003/ (dostęp 3 listopada 2026)
  4. CISA, „Use Strong Passwords | CISA”. https://www.cisa.gov/secure-our-world/use-strong-passwords (dostęp 3 listopada 2026)
  5. NCSC (Royaume-Uni), „Password policy: updating your approach”, 19 listopada 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (dostęp 3 listopada 2026)
  6. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Firmowy menedżer haseł czy menedżer w przeglądarce”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka/

BibTeX 
@misc{brain_cp346_pl_2026,
  author = {Brain},
  title = {Firmowy menedżer haseł czy menedżer w przeglądarce},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0