Bezpečnostný výskumník známy pod menom Tom Jøran Sønstebyseter Rønning nedávno poukázal na znepokojivý spôsob, akým prehliadač Microsoft Edge narába s uloženými heslami používateľov. Svoje zistenia zverejnil na sociálnych sieťach spolu s funkčnou ukážkou, ktorá demonštruje, že prehliadač po spustení načítava prihlasovacie údaje priamo do systémovej pamäte v nezašifrovanej podobe (plaintext). K tomuto procesu dochádza automaticky pri štarte, a to aj v prípade, že dané heslá práve aktívne nepoužívate.
Nástroj na dumpovanie pamäte a technické detaily
Na potvrdenie svojich pozorovaní publikoval výskumník na platforme GitHub vzdelávací nástroj s názvom „EdgeSavedPasswordsDumper“. Tento projekt slúži odborníkom na overenie toho, ako sú poverenia v prostredí prehliadača spravované. Nástroj funguje tak, že pristupuje k pamäti procesu prehliadača, kde dokáže vyhľadať a extrahowať používateľské mená a heslá v čitateľnej forme.
Podľa výskumníka je problematický najmä materský proces Microsoft Edge, ktorý konzistentne uchováva dešifrované údaje. To z neho robí potenciálny cieľ v momentoch, keď útočník získa dostatočné systémové oprávnenia. Hoci táto technika sama o sebe nepredstavuje vzdialený exploit, stáva sa kritickou v scenároch, kde má útočník zvýšený prístup k systému a môže využiť bežné administratívne nástroje na výpis pamäte.
Porovnanie s konkurenciou a postoj Microsoftu
Zaujímavým zistením je, že toto správanie sa zdá byť špecifické pre Edge, hoci ide o prehliadač postavený na jadre Chromium. Testy vykonané na alternatívach ako Google Chrome či Brave nepreukázali rovnaký problém. Tieto prehliadače zvyčajne dešifrujú prihlasovacie údaje až v momente, keď sú skutočne potrebné, a neuchovávajú ich trvalo v pamäti RAM.
Najviac bizarná je však reakcia samotnej spoločnosti Microsoft. Keď sa výskumník pokúsil firmu o tomto probléme informovať, Microsoft údajne kategorizoval toto správanie ako „zámerné“ (by design). Okrem tohto vyjadrenia spoločnosť k situácii zatiaľ neposkytla žiadne ďalšie vysvetlenie ani neohlásila plánovanú zmenu v architektúre správy hesiel. Ich reakcia však odborníkov zaskočila, nakoľko podľa nich ide o celkom závažný bezpečnostný problém, ktorý ohrozuje heslá používateľov.
