परिचित तडजोडींसह आलेला एक security finding
Microsoft अशा browser वर्तनाचे समर्थन करत आहे ज्यावर पुन्हा नव्याने लक्ष केंद्रीत झाले आहे: Edge मध्ये managed saved passwords RAM मध्ये plaintext स्वरूपात राहू शकतात. दिलेल्या source text नुसार, security researcher Tom Jøran Sønstebyseter Rønning यांनी दाखवले की जेव्हा वापरकर्ते Microsoft Password Manager in Edge वर अवलंबून असतात, तेव्हा browser startup वेळी credentials decrypt करतो आणि ते process memory मध्ये ठेवतो, अगदी त्या session मध्ये वापरकर्त्याने त्या credentials शी संबंधित sites कधीही भेट दिली नसली तरीही.
source material मध्ये समाविष्ट Microsoft च्या प्रतिसादानुसार, हे software bug नसून अपेक्षित वर्तन आहे. कंपनीने ZDNET ला सांगितले की memory मधील password data वर browser ला प्रवेश असणे हे applications वापरकर्त्यांना पटकन आणि सुरक्षितपणे sign in करण्यात मदत कशी करतात याचा भाग आहे. यासाठी device आधीच compromised असणे आवश्यक असल्याचेही कंपनीने नमूद केले.
ही दोन्ही भूमिका एकत्र आल्यामुळे ही बातमी महत्त्वाची ठरते. हा मुद्दा patch ची वाट पाहणाऱ्या लपलेल्या त्रुटीप्रमाणे मांडलेला नाही. त्याऐवजी, तो स्वीकारलेल्या design tradeoffs च्या अस्वस्थ श्रेणीत येतो, जिथे performance आणि convenience यांची तुलना यशस्वी compromise च्या परिणामांशी केली जाते.
संशोधकाने काय दाखवले
Rønning यांनी हे वर्तन दाखवण्यासाठी GitHub वर EdgeSavedPasswordsDumper नावाचे code प्रकाशित केले. source text सांगते की हे tool Edge मध्ये Microsoft Password Manager वापरणाऱ्या लोकांचे credentials browser process memory मध्ये plaintext स्वरूपात सापडू शकतात हे दाखवते. हे महत्त्वाचे आहे कारण त्यामुळे चर्चा नेमकी होते. हा finding product च्या storage mechanisms मध्ये passwords at rest encrypted आहेत की नाही याबद्दल नाही. तो browser ने active use साठी ते आधीच decrypt केल्यानंतर काय होते याबद्दल आहे.
संशोधकाने user experience मधील एक स्पष्ट विरोधाभासही अधोरेखित केला. Edge Password Manager interface मध्ये पासवर्ड दाखवण्यापूर्वी पुन्हा authentication मागू शकते, तरीही browser process कडे तेच पासवर्ड आधीच plaintext मध्ये memory मध्ये असू शकतात. interface protections आणि runtime exposure यांच्यातला हा फरक तांत्रिकदृष्ट्या जाणकार वापरकर्त्यांना अस्वस्थ करणारा भाग आहे.
तरीही, source text Microsoft च्या मूलभूत मुद्द्याला पाठिंबा देते की हा कमी प्रयत्नांचा remote attack नाही. वर्णन केलेले scenario attacker कडे आधीच प्रशासकीय अधिकार असलेले user account compromised असणे यावर अवलंबून आहे. त्यामुळे हा मुद्दा अप्रासंगिक ठरत नाही, पण तो प्रारंभिक प्रवेशबिंदूपेक्षा attack chain च्या पुढील टप्प्यावर ठेवला जातो.
