परिचित समझौतों के साथ एक सुरक्षा निष्कर्ष
Microsoft एक ऐसे ब्राउज़र व्यवहार का बचाव कर रहा है जिस पर फिर से ध्यान गया है: Edge में प्रबंधित सहेजे गए पासवर्ड RAM में प्लेनटेक्स्ट के रूप में रह सकते हैं। दिए गए स्रोत पाठ के अनुसार, सुरक्षा शोधकर्ता Tom Jøran Sønstebyseter Rønning ने दिखाया कि जब उपयोगकर्ता Microsoft Password Manager in Edge पर निर्भर करते हैं, तो ब्राउज़र स्टार्टअप पर क्रेडेंशियल्स को डिक्रिप्ट करता है और उन्हें प्रोसेस मेमोरी में रखता है, भले ही उस सत्र में उपयोगकर्ता उन साइटों पर कभी जाए ही न जिनसे वे क्रेडेंशियल जुड़े हैं।
स्रोत सामग्री में शामिल Microsoft की प्रतिक्रिया यह है कि यह कोई सॉफ़्टवेयर बग नहीं, बल्कि अपेक्षित व्यवहार है। कंपनी ने ZDNET को बताया कि मेमोरी में पासवर्ड डेटा तक ब्राउज़र की पहुंच इस बात का हिस्सा है कि एप्लिकेशन उपयोगकर्ताओं को तेज़ी और सुरक्षित तरीके से साइन इन करने में कैसे मदद करते हैं। कंपनी ने यह भी जोड़ा कि इस स्थिति का दुरुपयोग करने के लिए डिवाइस का पहले से ही समझौता होना आवश्यक होगा।
यही दोनों रुख इस खबर को महत्वपूर्ण बनाते हैं। मुद्दा किसी छिपी हुई खामी के रूप में नहीं पेश किया गया है जो पैच की प्रतीक्षा कर रही हो। इसके बजाय, यह स्वीकार्य डिज़ाइन समझौतों की असहज श्रेणी में आता है, जहां प्रदर्शन और सुविधा को सफल समझौते के परिणामों के विरुद्ध तौला जाता है।
शोधकर्ता ने क्या दिखाया
Rønning ने इस व्यवहार को प्रदर्शित करने के लिए GitHub पर EdgeSavedPasswordsDumper नाम का कोड प्रकाशित किया। स्रोत पाठ के अनुसार, यह टूल दिखाता है कि Edge में Microsoft Password Manager का उपयोग करने वाले लोगों द्वारा संग्रहीत क्रेडेंशियल्स ब्राउज़र प्रोसेस मेमोरी में प्लेनटेक्स्ट के रूप में पाए जा सकते हैं। यह इसलिए मायने रखता है क्योंकि इससे बहस की दिशा अधिक स्पष्ट हो जाती है। निष्कर्ष इस बारे में नहीं है कि उत्पाद के स्टोरेज तंत्रों में पासवर्ड आराम की स्थिति में एन्क्रिप्टेड हैं या नहीं। यह इस बारे में है कि ब्राउज़र द्वारा सक्रिय उपयोग के लिए उन्हें पहले ही डिक्रिप्ट कर दिए जाने के बाद क्या होता है।
शोधकर्ता ने उपयोगकर्ता अनुभव में दिखने वाली एक स्पष्ट विरोधाभास पर भी जोर दिया। Edge Password Manager इंटरफ़ेस में पासवर्ड दिखाने से पहले फिर से प्रमाणीकरण मांग सकता है, फिर भी ब्राउज़र प्रोसेस के पास वही पासवर्ड पहले से प्लेनटेक्स्ट में मेमोरी में मौजूद हो सकते हैं। इंटरफ़ेस सुरक्षा और रनटाइम एक्सपोज़र के बीच यह अंतर तकनीकी रूप से जागरूक उपयोगकर्ताओं को असहज करने वाला हिस्सा है।
फिर भी, स्रोत पाठ Microsoft के मूल बिंदु का समर्थन करता है कि यह कम मेहनत वाला रिमोट हमला नहीं है। वर्णित परिदृश्य इस बात पर निर्भर करता है कि हमलावर के पास पहले से प्रशासकीय अधिकारों वाला यूज़र अकाउंट समझौता हो चुका हो। इससे मुद्दा अप्रासंगिक नहीं हो जाता, लेकिन यह इसे प्रारंभिक प्रवेश बिंदु के बजाय हमले की श्रृंखला के बाद के चरण में रखता है।
