Hvis De gemmer adgangskoder i Microsoft Edge, er der en sikkerhedsrisiko, De bør kende til. Ifølge en ny afsløring indlæser browseren med det samme alle gemte adgangskoder i hukommelsen i læsbar form, hver gang De åbner Edge – ikke kun adgangskoden til det websted, De logger ind på. Det betyder, at legitimationsoplysninger for hver konto gemt i Edge kan blive eksponeret, hvis malware, en kompromitteret admin-konto eller en anden angriber får adgang til Deres enhed eller brugersession.
Fundet blev afsløret af sikkerhedsforskeren Tom Jøran Sønstebyseter Rønning(nyt vindue), som siger, at Microsofts svar var, at adfærden er “tilsigtet”.
Microsofts egen dokumentation siger, at Edge krypterer gemte adgangskoder på disken ved hjælp af AES (Advanced Encryption Standard) og anerkender, at adgangskoder kan blive eksponeret, hvis brugersessionen eller enheden kompromitteres. Den nye afsløring bestrider ikke dette, men rejser en anden bekymring: Edge indlæser alle gemte adgangskoder i læsbar hukommelse, så snart browseren starter, hvilket gør hukommelsesskrabning langt mere værdifuld, hvis en angriber får tilstrækkelig adgang.
Dette sker et år efter, at Microsoft indsnævrede adgangskodeadministration omkring Edge ved at udfase lagring af adgangskoder og autofyld i Microsoft Authenticator, hvilket pressede brugere, der ønskede at fortsætte med at bruge Microsofts adgangskodefunktioner, mod deres egen browser.
Hvordan Microsoft Edge håndterer gemte adgangskoder
Adgangskoder skal formodes at være beskyttet af kryptering, når de er gemt: Kryptering forvandler en læsbar adgangskode (klartekst) til ulæselige data (chiffertekst). For at bruge den adgangskode til autofyld skal en browser i sidste ende dekryptere den tilbage til læsbar form. Det vigtige spørgsmål er: Hvor meget adgangskodedata bliver læsbart på én gang?
Sikkerhedsforsker Tom Jøran Sønstebyseter Rønning siger, at Microsoft Edge indlæser alle gemte adgangskoder i browserens hukommelse i klartekst, så snart den starter, i stedet for kun at dekryptere en specifik adgangskode, når der er brug for den. Dette inkluderer alle adgangskoder gemt i Edge-adgangskodeadministrator, selv dem til websteder De ikke besøger eller bruger autofyld til i den nuværende browsing-session.
Det får Edges anmodning om gen-godkendelse til at virke vildledende: Grænsefladen beder Dem om at bevise Deres identitet, før en adgangskode afsløres, selvom browserprocessen allerede har alle gemte adgangskoder tilgængelige i læsbar form.
Forskeren testede denne adfærd på tværs af flere Chromium-baserede browsere, herunder Google Chrome, Brave, Vivaldi, Opera og Microsoft Edge. Kun Edge udviste denne adfærd.
Det er nok bare at lade Microsoft Edge være åben
Sikkerhedsforsker Rob VandenBrink, der skriver for SANS Internet Storm Center(nyt vindue), gengav problemet ved at lade Microsoft Edge være åben og analysere et hukommelsesdump fra den kørende browser-session. Han demonstrerede, hvordan en logget ind Windows-bruger kan dumpe sine lagrede Edge-legitimationsoplysninger uden yderligere rettigheder, hvilket også betyder, at malware, der kører som den bruger, potentielt også kan få adgang til disse legitimationsoplysninger.
Én kompromitteret session kan eksponere alle Deres adgangskoder
Hvis en angriber får tilstrækkelig adgang til enheden eller brugersessionen, kan de muligvis inspicere browserens hukommelse. Hvis kun én adgangskode dekrypteres ved behov, har angriberen et mindre vindue og færre data at indfange. Men hvis hver eneste gemte adgangskode allerede ligger i hukommelsen uden beskyttelse af kryptering, bliver hukommelsesskrabning langt mere værdifuld.
Risikoen er især alvorlig i delte miljøer, såsom terminalservere, fjernskriveborde, virtuel skrivebordsinfrastruktur eller systemer, hvor flere brugere er logget ind på samme tid. En kompromitteret admin-konto kunne udtrække gemte legitimationsoplysninger fra andre loggede brugere, herunder afbrudte sessioner, hvor Edge stadig kørte.
Hvad De skal gøre, hvis De har gemt adgangskoder i Microsoft Edge
Dette betyder ikke, at alle Microsoft Edge-brugere er blevet hacket, men enkeltpersoner og organisationer bør genoverveje, om Edge er det rette sted at gemme legitimationsoplysninger. Her er, hvad De kan gøre for at forblive sikker:
- Stop med at gemme nye adgangskoder i Microsofts browser, og slå Edge-adgangskodeadministrator fra.
- Flyt Deres gemte legitimationsoplysninger til en sikker adgangskodeadministrator. De kan nemt importere Edge-adgangskoder til Proton Pass.
- Slet adgangskoder gemt i Edge efter migrering.
- Skift adgangskoder med høj risiko, og gør dem unikke, begyndende med e-mail, finansielle konti, admin-værktøjer, indbakker til nulstilling af adgangskode og arbejdskonti. Vores adgangskodeadministrator har et integreret værktøj til dette formål, men De kan også bruge vores adgangskodegenerator.
- Aktivér to-faktor-godkendelse (2FA) eller adgangsnøgler, hvor det er muligt, hvilket hjælper med at reducere skaden, hvis en adgangskode bliver eksponeret. Proton Pass understøtter adgangsnøgler og 2FA for alle Deres gemte konti. De kan også bruge vores Godkender-app til sikkert at administrere adgang til Deres Proton-konto.
- For it-teams: Gennemgå Edge-adgangskodepolitikker, og deaktiver browserens adgangskodelager for at mindske den organisatoriske risiko. En centralt styret adgangskodeadministrator til erhverv er bedre end at medarbejdere gemmer adgangskoder i individuelle browsere.
Deres adgangskoder fortjener bedre end Microsoft Edge
Microsoft Edge-afsløringen er en påmindelse om, at Deres mest følsomme legitimationsoplysninger ikke bør gemmes i en adgangskodeadministrator ejet af et firma, der behandler denne type eksponering som forventet adfærd, selvom det skaber åbenlyse sikkerhedsproblemer for enkeltpersoner og organisationer.
Med Proton Pass er Deres adgangskoder, aliaser, adgangsnøgler og 2FA-koder beskyttet af end-to-end kryptering, og De bevarer kontrollen over, hvor og hvordan De bruger dem.
