Ein Sicherheitsbefund mit vertrauten Zielkonflikten
Microsoft verteidigt ein Browserverhalten, das erneut unter die Lupe genommen wird: Gespeicherte Passwörter, die in Edge verwaltet werden, können im RAM im Klartext vorliegen. Dem bereitgestellten Quelltext zufolge zeigte der Sicherheitsforscher Tom Jøran Sønstebyseter Rønning, dass der Browser, wenn Nutzer Microsoft Password Manager in Edge verwenden, Anmeldedaten beim Start entschlüsselt und im Prozessspeicher hält, selbst wenn der Nutzer während dieser Sitzung die mit diesen Anmeldedaten verknüpften Websites nie besucht.
Microsofts Antwort, ebenfalls im Quellmaterial enthalten, lautet, dass dies erwartetes Verhalten und kein Softwarefehler sei. Das Unternehmen erklärte gegenüber ZDNET, der Browserzugriff auf Passwortdaten im Speicher sei Teil davon, wie Anwendungen Nutzern helfen, sich schnell und sicher anzumelden. Außerdem hieß es, ein Missbrauch dieser Situation würde voraussetzen, dass das Gerät bereits kompromittiert sei.
Genau diese Kombination macht die Geschichte bedeutsam. Das Problem wird nicht als versteckter Fehler mit einem ausstehenden Patch beschrieben. Stattdessen fällt es in die unbequeme Kategorie akzeptierter Designkompromisse, bei denen Leistung und Komfort gegen die Folgen eines erfolgreichen Kompromisses abgewogen werden.
Was der Forscher zeigte
Rønning veröffentlichte auf GitHub Code namens EdgeSavedPasswordsDumper, um das Verhalten zu demonstrieren. Dem Quelltext zufolge zeigt das Werkzeug, dass Anmeldedaten von Nutzern des Microsoft Password Manager in Edge im Klartext im Speicher des Browserprozesses gefunden werden können. Das ist wichtig, weil es die Debatte präzisiert. Es geht nicht darum, ob Passwörter im Ruhezustand in den Speichersystemen des Produkts verschlüsselt sind. Es geht darum, was geschieht, nachdem der Browser sie bereits für die aktive Nutzung entschlüsselt hat.
Der Forscher hob auch einen scheinbaren Widerspruch in der Nutzererfahrung hervor. Edge kann eine erneute Authentifizierung verlangen, bevor Passwörter in der Password-Manager-Oberfläche angezeigt werden, während der Browserprozess dieselben Passwörter bereits im Klartext im Speicher haben kann. Diese Lücke zwischen Oberflächenschutz und Laufzeitexposition ist der Teil, der technisch versierte Nutzer besonders beunruhigen dürfte.
Gleichzeitig stützt der Quelltext auch Microsofts grundlegenden Punkt, dass es sich nicht um einen leicht ausnutzbaren Fernangriff handelt. Das beschriebene Szenario setzt voraus, dass ein Angreifer bereits ein Benutzerkonto mit Administratorrechten kompromittiert hat. Das macht das Problem nicht irrelevant, ordnet es aber weiter hinten in einer Angriffskette ein, nicht am ersten Einstiegspunkt.
