পরিচিত tradeoff-সহ একটি security finding
Microsoft এমন একটি browser behavior-এর পক্ষে সাফাই দিচ্ছে, যা নতুন করে scrutiny-এর মুখে পড়েছে: Edge-এ managed saved passwords RAM-এ plaintext অবস্থায় থাকতে পারে। প্রদত্ত source text অনুযায়ী, security researcher Tom Jøran Sønstebyseter Rønning দেখিয়েছেন যে ব্যবহারকারীরা Microsoft Password Manager in Edge-এর উপর নির্ভর করলে, browser startup-এ credentials decrypt করে এবং সেগুলো process memory-তে রেখে দেয়, এমনকি সেই session-এ ব্যবহারকারী ওই credentials-সংশ্লিষ্ট sites-এ কখনও না গেলেও।
source material-এ অন্তর্ভুক্ত Microsoft-এর প্রতিক্রিয়া হল, এটি software bug নয় বরং expected behavior। কোম্পানি ZDNET-কে জানিয়েছে যে memory-তে password data-তে browser access থাকা applications-কে দ্রুত এবং নিরাপদে sign in করতে সাহায্য করার পদ্ধতির অংশ। আরও বলা হয়েছে, এই অবস্থার সুযোগ নিতে হলে device ইতিমধ্যেই compromised থাকতে হবে।
এই দুই অবস্থানের সমন্বয়ই গল্পটিকে গুরুত্বপূর্ণ করে তোলে। বিষয়টি patch-এর অপেক্ষায় থাকা গোপন ত্রুটি হিসেবে উপস্থাপিত নয়। বরং এটি accepted design tradeoff-এর অস্বস্তিকর শ্রেণিতে পড়ে, যেখানে performance আর convenience-কে সফল compromise-এর পরিণামের বিপরীতে মাপা হয়।
গবেষক কী দেখিয়েছেন
Rønning এই আচরণ প্রদর্শনের জন্য GitHub-এ EdgeSavedPasswordsDumper নামে code প্রকাশ করেন। source text বলছে, এই tool দেখায় যে Edge-এ Microsoft Password Manager ব্যবহারকারীদের credentials browser process memory-তে plaintext আকারে পাওয়া যেতে পারে। এটি গুরুত্বপূর্ণ, কারণ এতে বিতর্কের দিক নির্দিষ্ট হয়। এই finding product-এর storage mechanism-এ passwords at rest এনক্রিপ্টেড কি না, সে বিষয়ে নয়। এটি সেই বিষয় নিয়ে, যা browser সেগুলোকে active use-এর জন্য ডিক্রিপ্ট করে ফেলার পর ঘটে।
গবেষক user experience-এ একটি স্পষ্ট বৈপরীত্যও তুলে ধরেছেন। Edge Password Manager interface-এ passwords দেখানোর আগে পুনরায় authentication চাইতে পারে, কিন্তু browser process-এর memory-তে একই passwords আগে থেকেই plaintext অবস্থায় থাকতে পারে। interface protections এবং runtime exposure-এর এই ফাঁকটাই প্রযুক্তি-সচেতন ব্যবহারকারীদের সবচেয়ে অস্বস্তিতে ফেলতে পারে।
তবু source text Microsoft-এর মূল বক্তব্যকেও সমর্থন করে যে এটি কম খরচের remote attack নয়। বর্ণিত scenario নির্ভর করে attacker-এর কাছে আগে থেকেই প্রশাসনিক অধিকারসহ একটি user account compromised থাকার ওপর। এতে বিষয়টি অপ্রাসঙ্গিক হয়ে যায় না, তবে এটিকে initial entry point-এর বদলে attack chain-এর পরের ধাপে স্থাপন করে।
