பரிச்சயமான சமநிலையுடன் வந்த ஒரு security finding
Microsoft தற்போது மீண்டும் கவனத்தை ஈர்த்துள்ள ஒரு browser நடத்தை பற்றி பாதுகாப்பு விளக்கம் அளித்து வருகிறது: Edge-இல் நிர்வகிக்கப்படும் saved passwords RAM-இல் plaintext ஆக இருக்க முடியும். வழங்கப்பட்ட source text-ன் படி, security researcher Tom Jøran Sønstebyseter Rønning, பயனர்கள் Microsoft Password Manager in Edge-ஐ நம்பும்போது, browser startup-இல் credentials-ஐ decrypt செய்து அவற்றை process memory-இல் வைத்திருப்பதை காட்டினார்; அந்த session-இல் அந்த credentials தொடர்புடைய sites-ஐ பயனர் ஒருபோதும் பார்க்காவிட்டாலும் கூட அது நடைபெறும்.
source material-ல் சேர்க்கப்பட்ட Microsoft-ன் பதில், இது ஒரு software bug அல்ல, எதிர்பார்க்கப்படும் நடத்தை என்பதாகும். நிறுவனம் ZDNET-க்கு, memory-இல் password data-ஐ browser அணுகுவது application-கள் பயனர்கள் விரைவாகவும் பாதுகாப்பாகவும் sign in செய்ய உதவும் முறையின் ஒரு பகுதியாகும் என்று கூறியது. மேலும், இந்த நிலையை exploit செய்ய, device ஏற்கனவே compromised நிலையில் இருக்க வேண்டும் என்றும் அது சேர்த்தது.
இந்த இரண்டு நிலைப்பாடுகளின் சேர்க்கைதான் இந்த செய்தியை முக்கியமாக்குகிறது. இந்த பிரச்சினை patch-ஐ காத்திருக்கும் மறைந்த குறைபாடாக விளக்கப்படவில்லை. மாறாக, இது ஏற்றுக்கொள்ளப்பட்ட design tradeoff-களின் அசௌகரியமான வகையில் உள்ளது, அங்கு performance மற்றும் convenience, வெற்றிகரமான compromise-ன் விளைவுகளுக்கு எதிராக அளக்கப்படுகின்றன.
ஆராய்ச்சியாளர் என்ன காட்டினார்
Rønning, இந்த நடத்தை விளக்க GitHub-இல் EdgeSavedPasswordsDumper என்ற code-ஐ வெளியிட்டார். source text கூறுவதாவது, இந்த tool, Edge-இல் Microsoft Password Manager பயன்படுத்தும் பயனர்களின் credentials browser process memory-இல் plaintext-ஆகக் காணப்பட முடியும் என்பதை காட்டுகிறது. இது விவாதத்தின் திசையை நெருக்கமாக்குகிறது என்பதால் முக்கியம். இந்த finding, product storage mechanisms-இல் passwords at rest encryption செய்யப்பட்டுள்ளனவா என்பதைக் குறித்ததல்ல. browser அவற்றை active use-க்காக ஏற்கனவே decrypt செய்த பிறகு என்ன நடக்கிறது என்பதைக் குறித்தது.
ஆராய்ச்சியாளர் user experience-இல் தெரியும் ஒரு வெளிப்படையான முரண்பாட்டையும் சுட்டிக்காட்டினார். Edge Password Manager interface-இல் passwords-ஐ காட்டுவதற்கு முன் மீண்டும் authentication கேட்கலாம், ஆனால் அதே passwords browser process memory-இல் ஏற்கனவே plaintext ஆக இருக்கலாம். interface protections மற்றும் runtime exposure இடையிலான இந்த gap, தொழில்நுட்ப அறிவு கொண்ட பயனர்களை அதிகமாக கலக்கக் கூடிய பகுதியாகும்.
என்றாலும், source text Microsoft-ன் அடிப்படை கருத்தையும் ஆதரிக்கிறது: இது எளிதில் செய்யக்கூடிய remote attack அல்ல. விவரிக்கப்பட்ட சூழ்நிலை, administrative rights கொண்ட user account ஏற்கனவே attacker-னால் compromise செய்யப்பட்டிருக்க வேண்டும் என்பதையே சார்ந்துள்ளது. இது பிரச்சினையை பொருத்தமற்றதாக மாற்றவில்லை, ஆனால் initial entry point-இல் அல்லாமல் attack chain-ன் பின்னர் பகுதியில் அதை வைக்கிறது.
