Пароли Microsoft Edge: незащищенное хранение в оперативной памяти

На первый взгляд встроенный менеджер паролей браузера Microsoft Edge выглядит образцом надежности. Данные хранятся в зашифрованном виде, а для доступа к ним требуется аутентификация через Windows Hello. Однако за этой внешней крепостью скрывается уязвимость, о которой стоило бы знать каждому пользователю.

Проблему обнародовал исследователь Том Йоран Сёнстебюсетер Рённинг в публикации на X. И простой эксперимент подтверждает его опасения.

Что происходит на самом деле

При включенном менеджере паролей в Edge достаточно создать тестовую учетную запись — скажем, с паролем «Klartext-PW-Test». Система запросит подтверждение через Windows Hello, и на этом этапе защита выглядит безупречной.

Но далее следует закрыть браузер и запустить его заново, чтобы на экране осталась только стартовая страница без каких-либо посещенных сайтов. Если в этот момент через диспетчер задач создать дамп памяти браузера — объемом около 670 мегабайт — и открыть его в hex-редакторе, поиск по строке «Klartext» выдаст полный пароль в незашифрованном виде. Никакого дополнительного использования пароля не потребовалось — он уже лежал в оперативной памяти, доступный для чтения.

Почему это тревожный сигнал

Согласно современным стандартам безопасности, пароли должны расшифровываться лишь в момент непосредственного использования и немедленно удаляться из памяти. Но в Edge происходит иное: все пароли оказываются загруженными в оперативную память сразу, даже до посещения тех сайтов, для которых они предназначены.

Эта проблема классифицируется как CWE-316 — «хранение конфиденциальной информации в открытом виде в памяти». Подобные методы устарели и не соответствуют лучшим практикам защиты данных.

Позиция Microsoft и что это значит для пользователя

Издание Itavisen.no сообщает, что Рённинг получил от Microsoft ответ на свое уведомление об уязвимости. Реакция компании оказалась неожиданной: речь идет не о случайной ошибке, а о сознательном дизайнерском решении. Корпорация оставляет этот механизм без изменений намеренно.

Один вопрос повисает в воздухе без ответа: почему компания, претендующая на лидерство в области информационной безопасности, принимает такое решение, зная о рисках?

Вывод напрашивается сам собой. Тем, кто всерьез заботится о сохранности своих данных, стоит присмотреться к альтернативным менеджерам паролей. Встроенное решение Edge, при всей его кажущейся надежности, хранит ключи от цифровой жизни так, что их может обнаружить любой, у кого есть доступ к процессу браузера.

А значит, вопрос уже не в том, взломают ли вас. Вопрос в том, когда и кто заглянет в этот незапертый ящик.