Microsoft défend les mots de passe Edge dans la RAM, mais cette conception soulève de nouvelles questions

Une découverte de sécurité avec des arbitrages familiers

Microsoft défend un comportement du navigateur qui suscite un nouvel examen: les mots de passe enregistrés gérés dans Edge peuvent résider en clair dans la RAM. Selon le texte source fourni, le chercheur en sécurité Tom Jøran Sønstebyseter Rønning a démontré que, lorsque les utilisateurs s’appuient sur Microsoft Password Manager dans Edge, le navigateur déchiffre les identifiants au démarrage et les conserve dans la mémoire du processus, même si l’utilisateur ne visite jamais pendant cette session les sites liés à ces identifiants.

La réponse de Microsoft, également incluse dans le matériau source, est qu’il s’agit d’un comportement attendu et non d’un bug logiciel. L’entreprise a déclaré à ZDNET que l’accès du navigateur aux données de mots de passe en mémoire fait partie de la manière dont les applications aident les utilisateurs à se connecter rapidement et en toute sécurité. Elle a ajouté qu’exploiter cette situation nécessiterait que l’appareil soit déjà compromis.

C’est cette combinaison de positions qui rend l’affaire importante. Le problème n’est pas présenté comme une faille cachée en attente d’un correctif. Il relève plutôt de la catégorie inconfortable des arbitrages de conception acceptés, où les performances et la commodité sont mises en balance avec les conséquences d’une compromission réussie.

Ce que le chercheur a montré

Rønning a publié sur GitHub un code appelé EdgeSavedPasswordsDumper pour démontrer ce comportement. Le texte source indique que l’outil montre que les identifiants stockés par les utilisateurs de Microsoft Password Manager dans Edge peuvent être trouvés en clair dans la mémoire du processus du navigateur. C’est important, car cela précise le débat. La question n’est pas de savoir si les mots de passe sont chiffrés au repos dans les mécanismes de stockage du produit. Elle concerne ce qui se passe après que le navigateur les a déjà déchiffrés pour une utilisation active.

Le chercheur a également mis en évidence une contradiction apparente dans l’expérience utilisateur. Edge peut exiger une réauthentification avant d’afficher les mots de passe dans l’interface du Password Manager, alors que le processus du navigateur peut déjà contenir ces mêmes mots de passe en clair dans la mémoire. Cet écart entre les protections de l’interface et l’exposition à l’exécution est la partie susceptible de déstabiliser les utilisateurs techniquement avertis.

Le texte source appuie néanmoins le point essentiel de Microsoft, à savoir qu’il ne s’agit pas d’une attaque à distance peu coûteuse. Le scénario décrit suppose qu’un attaquant a déjà compromis un compte utilisateur disposant de privilèges d’administrateur. Cela ne rend pas le problème anodin, mais le place plus loin dans la chaîne d’attaque, et non au point d’entrée initial.

Pourquoi cette distinction compte

Les questions de sécurité dépendent souvent de l’endroit où un contrôle est censé agir. Si un système est conçu pour se défendre contre des abus à distance, les protections au repos et les vérifications de l’interface utilisateur peuvent suffire pour de nombreux modèles de menace courants. Si la préoccupation est la résilience après compromission, les critères changent. Une fois qu’un attaquant dispose d’un accès local, tout ce qui est conservé en mémoire devient plus précieux et plus vulnérable.

C’est pourquoi l’argument de Microsoft selon lequel il s’agit d’une fonction et non d’un bug peut être techniquement cohérent tout en laissant les utilisateurs mal à l’aise. Du point de vue du produit, le préchargement des identifiants peut améliorer la réactivité et réduire les frictions. Du point de vue de la sécurité, cela augmente la quantité de données sensibles accessibles à un attaquant qui a déjà franchi une autre barrière.

Aucun des deux côtés de cet argument n’est trivial. Les logiciels modernes s’appuient souvent sur des secrets résidant en mémoire pour fonctionner de manière fluide. Dans le même temps, la compromission d’un terminal n’est pas un risque hypothétique. Si un navigateur centralise les identifiants pour de nombreux comptes, alors toute décision de conception qui élargit l’exposition en mémoire mérite un examen attentif.

Points clés établis dans le texte source

• Edge stocke les mots de passe enregistrés en clair dans la RAM lorsqu’il est utilisé comme gestionnaire de mots de passe.
• Microsoft dit que ce comportement est attendu et ne poserait problème que si l’appareil était déjà compromis.
• La démonstration du chercheur se concentre sur l’accès à la mémoire du navigateur après compromission.

Une conversation plus large sur la sécurité des navigateurs

L’affaire reflète aussi une évolution plus large de la manière dont les navigateurs sont jugés. Ils ne sont plus seulement des outils de rendu de pages. Ils sont des hubs d’identité, des assistants de paiement, des clients de synchronisation et des gestionnaires de mots de passe. Cela signifie que leur comportement en mémoire, et pas seulement leurs réglages visibles, compte de plus en plus pour les utilisateurs soucieux de sécurité et les équipes de défense en entreprise.

Pour certains, l’explication de Microsoft suffira. Si l’appareil est déjà compromis, peuvent-ils soutenir, beaucoup d’autres protections ont déjà échoué. Pour d’autres, c’est précisément pour cela que le sujet compte: un logiciel chargé de données d’identification sensibles devrait minimiser les données utiles laissées exposées pendant cet état compromis.

Le texte source n’établit pas que Microsoft prévoit un changement, et il ne montre pas non plus de preuve d’une exploitation active à grande échelle de ce comportement. Mais il met en lumière une vraie tension de conception qui ne disparaîtra probablement pas. Les gestionnaires de mots de passe intégrés aux navigateurs grand public promettent la commodité en réduisant le nombre d’étapes entre l’utilisateur et la connexion. Le coût de cette commodité est souvent payé par une complexité qui ne devient visible que lorsqu’un chercheur regarde sous l’interface.

Pour Developments Today, l’enjeu tient moins à un titre sensationnaliste sur des « mots de passe en clair » qu’à l’architecture du produit. Edge doit défendre un choix qui peut être normal dans certains contextes techniques, mais difficile à justifier pour des utilisateurs qui attendent une compartimentation plus stricte autour des identifiants enregistrés. Le débat porte, au fond, sur le niveau d’exposition acceptable après compromission, et c’est une question à laquelle l’industrie des navigateurs continuera d’être confrontée.

Cet article est basé sur un reportage de ZDNET. Lire l’article original.