Microsoft Edge ще получи важна промяна в механизма за управление на запазени пароли, след като компанията беше подложена на критики от изследователи по сигурността за начина, по който браузърът обработва чувствителни данни в паметта на системата.
Изследовател разкри спорно поведение в Edge
На 4 май специалистът по киберсигурност Том Йоран Сьонстебюсетер Рьонинг публикува анализ, показващ, че браузърът Edge автоматично декриптира всички запазени пароли още при стартиране и ги държи в паметта на процеса в чист текст, дори когато потребителят не използва password manager-а.
Според изследователя това поведение създава ненужно голяма повърхност за атака, особено при сценарии, при които нападател вече има достъп до устройството.
Рьонинг публикува и proof-of-concept (PoC) инструмент, който демонстрира как администраторски акаунт може да извлече пароли от процесите на Edge на други потребители. Без административни права инструментът все пак позволява достъп до Edge процесите на текущия потребител.
Microsoft първоначално определя поведението като „очаквано“
След подаден сигнал до Microsoft, изследователят е получил отговор, че поведението е „by design“ – тоест умишлено заложена функционалност.
По-късно Microsoft потвърди пред медиите, че това е „очаквана характеристика на приложението“, тъй като компанията не разглежда сценарии с вече компрометирана система като част от стандартния threat model.
Рьонинг обаче отбелязва, че Edge е единственият Chromium-базиран браузър, който той е тествал и който зарежда всички пароли в паметта още при стартиране.
По негови думи:
За разлика от Edge, Google Chrome използва архитектура, която значително затруднява извличането на запазени пароли чрез директно четене на процесната памет.
Microsoft променя позицията си
След обществената реакция и допълнителните критики Microsoft обяви, че ще промени поведението на браузъра като част от стратегията си за defense-in-depth защита.
Ръководителят на сигурността на Edge Гарет Евънс заяви, че бъдещите версии на браузъра повече няма да зареждат автоматично всички пароли в паметта при стартиране.
Компанията подчертава, че макар сценарият да не попада официално в модела ѝ за сигурност, намаляването на експозицията на чувствителни данни в RAM паметта е „практична и разумна стъпка“.
Поправката вече е налична в Canary версиите
Новата защита вече е активна в Canary канала на Edge и ще бъде включена в следващите обновления за всички поддържани версии на браузъра – Stable, Beta, Dev, Canary и Extended Stable.
Промяната ще бъде налична в Edge build 148 и по-нови версии.
Microsoft засилва защитата на Edge
Това не е първият случай през последните месеци, в който Microsoft въвежда допълнителни механизми за защита в браузъра.
През миналата година компанията добави нови защити срещу злонамерени sideloaded разширения и ограничи достъпа до Internet Explorer mode в Edge, след като атакуващи започнаха да експлоатират zero-day уязвимости в Chakra JavaScript енджина.
Защо темата е важна
Макар Microsoft да подчертава, че атакуващият трябва вече да има локален достъп до системата, случаят отново поставя въпроса за т.нар. post-compromise security – защитата след първоначално компрометиране.
Съвременните ransomware групи и инфостийлър малуери често използват именно memory dumping техники за извличане на идентификационни данни, токени и сесии. Намаляването на количеството чувствителна информация, съхранявана в RAM паметта, се счита за важен defense-in-depth механизъм, особено в корпоративна среда.
