Une découverte de sécurité avec des arbitrages familiers
Microsoft défend un comportement du navigateur qui suscite un nouvel examen: les mots de passe enregistrés gérés dans Edge peuvent résider en clair dans la RAM. Selon le texte source fourni, le chercheur en sécurité Tom Jøran Sønstebyseter Rønning a démontré que, lorsque les utilisateurs s’appuient sur Microsoft Password Manager dans Edge, le navigateur déchiffre les identifiants au démarrage et les conserve dans la mémoire du processus, même si l’utilisateur ne visite jamais pendant cette session les sites liés à ces identifiants.
La réponse de Microsoft, également incluse dans le matériau source, est qu’il s’agit d’un comportement attendu et non d’un bug logiciel. L’entreprise a déclaré à ZDNET que l’accès du navigateur aux données de mots de passe en mémoire fait partie de la manière dont les applications aident les utilisateurs à se connecter rapidement et en toute sécurité. Elle a ajouté qu’exploiter cette situation nécessiterait que l’appareil soit déjà compromis.
C’est cette combinaison de positions qui rend l’affaire importante. Le problème n’est pas présenté comme une faille cachée en attente d’un correctif. Il relève plutôt de la catégorie inconfortable des arbitrages de conception acceptés, où les performances et la commodité sont mises en balance avec les conséquences d’une compromission réussie.
Ce que le chercheur a montré
Rønning a publié sur GitHub un code appelé EdgeSavedPasswordsDumper pour démontrer ce comportement. Le texte source indique que l’outil montre que les identifiants stockés par les utilisateurs de Microsoft Password Manager dans Edge peuvent être trouvés en clair dans la mémoire du processus du navigateur. C’est important, car cela précise le débat. La question n’est pas de savoir si les mots de passe sont chiffrés au repos dans les mécanismes de stockage du produit. Elle concerne ce qui se passe après que le navigateur les a déjà déchiffrés pour une utilisation active.
Le chercheur a également mis en évidence une contradiction apparente dans l’expérience utilisateur. Edge peut exiger une réauthentification avant d’afficher les mots de passe dans l’interface du Password Manager, alors que le processus du navigateur peut déjà contenir ces mêmes mots de passe en clair dans la mémoire. Cet écart entre les protections de l’interface et l’exposition à l’exécution est la partie susceptible de déstabiliser les utilisateurs techniquement avertis.
Le texte source appuie néanmoins le point essentiel de Microsoft, à savoir qu’il ne s’agit pas d’une attaque à distance peu coûteuse. Le scénario décrit suppose qu’un attaquant a déjà compromis un compte utilisateur disposant de privilèges d’administrateur. Cela ne rend pas le problème anodin, mais le place plus loin dans la chaîne d’attaque, et non au point d’entrée initial.
