Microsoft Edge je jako rizičan jer može veoma lako da otkrije sve korisničke lozinke

Microsoft se našao pod pravom salvom kritika nakon što je istraživač za sajber bezbednosti iz Norveške, otkrio da Microsoft Edge browser tokom rada dekriptuje sve sačuvane lozinke i čuva ih u memoriji računara u običnom tekstualnom obliku.

Prema navodima, problem je primećen tokom analize Edge verzije 147.0.3912.98, gde browser odmah po pokretanju učitava kompletne korisničke lozinke u RAM memoriju i tamo ih zadržava čak i kada korisnik ne posećuje sajtove povezane sa tim nalozima.

Posebnu pažnju izazvalo je poređenje sa Google Chrome browserom koji koristi isti Chromium osnovni kod, ali lozinke dekriptuje samo kada su zaista potrebne i potom ih odmah uklanja iz memorije.

Chrome dodatno koristi sistem vezivanja dekripcije za autentifikovani browser proces kako bi dodatno otežao eventualne napade.

Microsoft tvrdi da ovakvo Edge ponašanje nije bezbednosni propust

Kod Edge browsera situacija je drugačija. Istraživač tvrdi da napadač koji dobije lokalni pristup računaru može relativno jednostavno da izvrši memory dump i izvuče kompletne lozinke korisnika direktno iz RAM memorije.

Poseban problem predstavljaju deljena okruženja i serverski sistemi sa više aktivnih korisničkih sesija gde bi potencijalno moglo doći do pristupa podacima drugih korisnika. Nakon prijave problema Microsoft je odgovorio da se ne radi o bezbednosnom propustu već o namernoj dizajnerskoj odluci usmerenoj ka bržem korisničkom iskustvu prilikom prijavljivanja na sajtove.

Kompanija tvrdi da napad zahteva prethodno kompromitovan uređaj i savetuje korisnicima da redovno ažuriraju sistem i izbegavaju maliciozne programe. Međutim, deo bezbednosnih stručnjaka smatra da ovakav pristup ozbiljno povećava rizik od krađe naloga, posebno imajući u vidu količinu osetljivih podataka koje browser danas čuva.

Istraživač je već objavio demonstraciju problema i najavio alat za proveru rizika koji bi trebalo da bude dostupan preko GitHub platforme.

Stručnjaci trenutno preporučuju korisnicima Edge browsera da lozinke prebace u specijalizovane password manager aplikacije i uklone sačuvane pristupne podatke iz samog Edge browsera.