MicrosoftはEdgeのパスワードのRAM上保存を擁護するが、その設計は新たな疑問を呼んでいる

おなじみのトレードオフを伴うセキュリティ上の発見

Microsoftは、改めて注目を集めているブラウザーの挙動を擁護している。Edgeで管理される保存済みパスワードが、RAM上ではプレーンテキストで存在しうるというものだ。提供された原文によると、セキュリティ研究者のTom Jøran Sønstebyseter Rønning氏は、ユーザーがEdgeのMicrosoft Password Managerに依存している場合、ブラウザーは起動時に認証情報を復号し、そのセッション中にその認証情報に紐づくサイトへ一度もアクセスしなくても、それらをプロセスメモリに保持することを示した。

原文にも含まれているMicrosoftの反応は、これがソフトウェアの不具合ではなく、想定された挙動だというものだ。同社はZDNETに対し、メモリ上のパスワードデータにブラウザーがアクセスできることは、アプリケーションがユーザーに迅速かつ安全にサインインしてもらうための仕組みの一部だと説明した。また、この状態を悪用するには、端末がすでに侵害されている必要があるとも付け加えた。

こうした立場の組み合わせこそが、この話を重要にしている。問題は、修正を待つ隠れた欠陥として描かれているわけではない。むしろ、性能と利便性を、侵害が成功した場合の結果と天秤にかける、受け入れられた設計上のトレードオフという、居心地の悪い領域に置かれている。

研究者が示したこと

Rønning氏は、この挙動を示すためにEdgeSavedPasswordsDumperと呼ばれるコードをGitHubに公開した。原文によれば、このツールは、EdgeのMicrosoft Password Managerを使っているユーザーの認証情報が、ブラウザのプロセスメモリ内でプレーンテキストとして見つかりうることを示している。これは議論の焦点を絞るうえで重要だ。今回の発見は、製品の保存機構内部でパスワードが保存時に暗号化されているかどうかを問うものではない。ブラウザーが実使用のためにすでにそれらを復号した後に何が起きるのか、という点に関するものだ。

研究者はまた、ユーザー体験上の見かけの矛盾も指摘した。Edgeでは、Password Managerの画面でパスワードを表示する前に再認証を求めることがある一方で、ブラウザープロセス内にはすでに同じパスワードがプレーンテキストで存在している可能性がある。この、インターフェース上の保護と実行時の露出との間の差が、技術に詳しいユーザーを不安にさせる部分だろう。

それでも原文は、Microsoftの基本的な主張、つまりこれは低コストで実行できるリモート攻撃ではないという点も裏付けている。記述されたシナリオは、攻撃者がすでに管理者権限を持つユーザーアカウントを侵害していることを前提としている。それによってこの問題の重要性が消えるわけではないが、侵入の初動ではなく、攻撃チェーンの後段に位置づけられることにはなる。

なぜこの違いが重要なのか

セキュリティ上の問いは、制御がどこで機能するよう設計されているかに左右されることが多い。システムがリモートからの悪用に備えるよう設計されているなら、保存時の保護やユーザーインターフェース上の確認だけで、多くの一般的な脅威モデルには十分な場合がある。問題が侵害後の耐性にあるなら、基準は変わる。攻撃者がローカルアクセスを得た時点で、メモリ上に保持されているものはより価値が高く、より脆弱になる。

だからこそ、Microsoftの「バグではなく機能」という説明は技術的には筋が通っていても、ユーザーに不安を残しうる。製品の観点では、認証情報を事前に読み込むことで応答性が向上し、操作の手間も減る。一方、セキュリティの観点では、すでに別の境界を越えた攻撃者にとって有用な機密情報の量が増える。

この議論のどちらの側も軽視できない。現代のソフトウェアは、円滑に動作するためにメモリ常駐の秘密情報に頻繁に依存している。同時に、エンドポイント侵害は仮想的なリスクではない。ブラウザーが多数のアカウントの認証情報を集約するなら、メモリ上の露出範囲を広げる設計判断には、厳しい検証が必要だ。

原文で示された要点

• Edgeは、パスワードマネージャーとして使われる際、保存済みパスワードをRAM上でプレーンテキストとして保持する。
• Microsoftはこれを想定された挙動だとし、端末がすでに侵害されている場合にのみ問題になると説明している。
• 研究者のデモは、ブラウザーメモリへの侵害後アクセスに焦点を当てている。

より広いブラウザーセキュリティの議論

この話はまた、ブラウザーがどう評価されるかという大きな変化も反映している。ブラウザーはもはや単なるページ描画ツールではない。ID管理の拠点であり、決済の補助役であり、同期クライアントであり、パスワードマネージャーでもある。つまり、ユーザー向け設定だけでなく、そのメモリ上での挙動が、セキュリティを重視するユーザーや企業の防御担当者にとってますます重要になっている。

Microsoftの説明で十分だと考える人もいるだろう。端末がすでに侵害されているなら、他の多くの防御もすでに破られている、という見方だ。だが、まさにその点こそが重要だと考える人もいる。機密認証情報を託されたソフトウェアは、侵害された状態で露出する有用なデータをできるだけ減らすべきだというわけだ。

原文は、Microsoftが変更を予定していることを示していないし、この挙動が大規模に悪用されている証拠も示していない。しかし、消えそうにない現実の設計上の緊張関係は浮き彫りになっている。主流ブラウザー内のパスワードマネージャーは、ユーザーとログインの間の手順を減らすことで利便性を約束する。その代償は、研究者がインターフェースの裏側を覗いたときに初めて見えてくる複雑さとして支払われることが多い。

Developments Todayにとって重要なのは、「プレーンテキストのパスワード」というセンセーショナルな見出しそのものよりも、製品アーキテクチャの問題だ。Edgeは、技術的には一般的な場合もあるが、保存済み認証情報のまわりでより強い分離を期待するユーザーには正当化しにくい選択を、防衛するよう求められている。議論の核心は、侵害後にどれだけの露出が許容されるのかであり、それはブラウザー業界が今後も向き合い続ける問いだ。

この記事はZDNETの報道に基づいています。元記事を読む。