Microsoft تدافع عن وجود كلمات مرور Edge في الذاكرة RAM، لكن التصميم يثير أسئلة جديدة

اكتشاف أمني مع مفاضلات مألوفة

تدافع Microsoft عن سلوك في المتصفح عاد إلى دائرة التدقيق: كلمات المرور المحفوظة التي يديرها Edge يمكن أن تبقى بنص واضح في ذاكرة RAM. ووفقًا للنص الأصلي المرفق، أظهر الباحث الأمني Tom Jøran Sønstebyseter Rønning أنه عندما يعتمد المستخدمون على Microsoft Password Manager في Edge، فإن المتصفح يفك تشفير بيانات الاعتماد عند بدء التشغيل ويحتفظ بها في ذاكرة العملية، حتى إذا لم يزر المستخدم خلال تلك الجلسة المواقع المرتبطة بتلك البيانات.

وردّ Microsoft، الوارد أيضًا في المادة الأصلية، هو أن هذا سلوك متوقع وليس خطأ برمجيًا. وقالت الشركة لـ ZDNET إن وصول المتصفح إلى بيانات كلمات المرور في الذاكرة هو جزء من كيفية مساعدة التطبيقات للمستخدمين على تسجيل الدخول بسرعة وأمان. وأضافت أن استغلال هذه الحالة يتطلب أن يكون الجهاز مخترقًا بالفعل.

هذا الجمع بين الموقفين هو ما يجعل القصة مهمة. فالمسألة لا تُطرح كعيب خفي ينتظر تصحيحًا. بل تقع في الفئة المزعجة من المفاضلات التصميمية المقبولة، حيث تتم الموازنة بين الأداء والراحة وبين عواقب الاختراق الناجح.

ما الذي أظهره الباحث

نشر Rønning على GitHub شيفرة باسم EdgeSavedPasswordsDumper لإثبات السلوك. ويقول النص الأصلي إن الأداة تُظهر أن بيانات الاعتماد المخزنة لدى مستخدمي Microsoft Password Manager في Edge يمكن العثور عليها بنص واضح في ذاكرة عملية المتصفح. وهذا مهم لأنه يضيق نطاق النقاش. فالمسألة لا تتعلق بما إذا كانت كلمات المرور مشفرة أثناء التخزين داخل آليات حفظ المنتج، بل بما يحدث بعد أن يكون المتصفح قد فك تشفيرها بالفعل للاستخدام النشط.

كما أشار الباحث إلى تناقض ظاهر في تجربة المستخدم. فقد يطلب Edge إعادة المصادقة قبل عرض كلمات المرور في واجهة Password Manager، بينما قد تكون العملية نفسها تحتوي بالفعل على الكلمات نفسها بنص واضح في الذاكرة. وهذه الفجوة بين حماية الواجهة والتعرض أثناء التشغيل هي الجزء الذي يرجح أن يزعج المستخدمين ذوي الخلفية التقنية.

ومع ذلك، يدعم النص الأصلي أيضًا نقطة Microsoft الأساسية بأن هذا ليس هجومًا بعيدًا منخفض الكلفة. فالسيناريو الموصوف يعتمد على أن المهاجم قد اخترق بالفعل حساب مستخدم يمتلك صلاحيات إدارية. وهذا لا يجعل المشكلة غير مهمة، لكنه يضعها في مرحلة لاحقة من سلسلة الهجوم بدلًا من نقطة الدخول الأولى.

لماذا يهم هذا التمييز

غالبًا ما تتوقف الأسئلة الأمنية على موضع عمل الضبط الأمني. فإذا كان النظام مصممًا للدفاع ضد الاستغلال عن بُعد، فقد تكون الحماية أثناء التخزين وفحوصات واجهة المستخدم كافية للعديد من نماذج التهديد الشائعة. أما إذا كان القلق يتعلق بالمرونة بعد الاختراق، فالمعايير تتغير. فبمجرد أن يحصل المهاجم على وصول محلي، تصبح أي بيانات محتفظ بها في الذاكرة أكثر قيمة وأكثر عرضة للخطر.

لهذا قد يكون وصف Microsoft بأنه “ميزة، وليس خطأ” متسقًا تقنيًا، لكنه يظل يترك المستخدمين في حالة قلق. فمن منظور المنتج، يمكن أن يؤدي التحميل المسبق لبيانات الاعتماد إلى تحسين الاستجابة وتقليل الاحتكاك. ومن منظور الأمن، يزيد ذلك من كمية المواد الحساسة المتاحة لمهاجم تجاوز بالفعل حاجزًا آخر.

ولا يُعد أي من جانبي هذا النقاش بسيطًا. فالبرمجيات الحديثة تعتمد كثيرًا على الأسرار المقيمة في الذاكرة كي تعمل بسلاسة. وفي الوقت نفسه، فإن اختراق الجهاز الطرفي ليس خطرًا افتراضيًا. وإذا كان المتصفح يركز بيانات الاعتماد الخاصة بالعديد من الحسابات، فإن أي قرار تصميم يزيد من التعرض داخل الذاكرة يستحق التدقيق.

النقاط الأساسية المثبتة في النص الأصلي

• يقوم Edge بتخزين كلمات المرور المحفوظة بنص واضح في RAM عند استخدامه كمدير كلمات مرور.
• تقول Microsoft إن هذا سلوك متوقع ولا يهم إلا إذا كان الجهاز مخترقًا بالفعل.
• يركز عرض الباحث على الوصول إلى ذاكرة المتصفح بعد الاختراق.

نقاش أوسع حول أمن المتصفح

تعكس القصة أيضًا تحولًا أوسع في كيفية تقييم المتصفحات. فهي لم تعد مجرد أدوات لعرض الصفحات. بل أصبحت مراكز هوية، ومساعدات دفع، وعملاء مزامنة، ومديري كلمات مرور. وهذا يعني أن سلوكها في الذاكرة، وليس فقط إعداداتها الظاهرة للمستخدم، أصبح يهم بشكل متزايد المستخدمين المهتمين بالأمن والمدافعين في المؤسسات.

بالنسبة لبعض الأشخاص، سيكون تفسير Microsoft كافيًا. فإذا كان الجهاز مخترقًا بالفعل، فقد يجادلون بأن كثيرًا من وسائل الحماية الأخرى قد فشلت أصلًا. أما بالنسبة لآخرين، فهذا تحديدًا هو سبب أهمية المسألة: فالبرمجيات الموكلة ببيانات اعتماد حساسة ينبغي أن تقلل إلى الحد الأدنى من البيانات المفيدة التي تبقى مكشوفة أثناء حالة الاختراق.

لا يثبت النص الأصلي أن Microsoft تخطط لأي تغيير، ولا يُظهر دليلًا على أن السلوك يُستغل بنطاق واسع. لكنه يسلط الضوء على توتر حقيقي في التصميم من غير المرجح أن يختفي. فمديرو كلمات المرور داخل المتصفحات السائدة يعدون بالراحة عبر تقليل عدد الخطوات بين المستخدم وتسجيل الدخول. وغالبًا ما يُدفع ثمن هذه الراحة في صورة تعقيد لا يظهر إلا عندما ينظر باحث أسفل الواجهة.

بالنسبة إلى Developments Today، تكمن الأهمية أقل في عنوان مثير عن “كلمات المرور بنص واضح” وأكثر في بنية المنتج. Edge مطالب بالدفاع عن خيار قد يكون طبيعيًا في بعض السياقات التقنية، لكنه يصعب تبريره للمستخدمين الذين يتوقعون فصلًا أقوى حول بيانات الاعتماد المحفوظة. وفي النهاية، يدور الجدل حول مقدار التعرض المقبول بعد الاختراق، وهذا سؤال ستواصل صناعة المتصفحات مواجهته.

هذه المقالة مبنية على تقرير ZDNET. اقرأ المقال الأصلي.