పరిచితమైన tradeoffsతో కూడిన ఒక security finding
Microsoft ప్రస్తుతం తిరిగి పరిశీలనకు లోనైన browser ప్రవర్తనను సమర్థిస్తోంది: Edgeలో managed saved passwords RAMలో plaintextగా ఉండవచ్చు. ఇచ్చిన source text ప్రకారం, security researcher Tom Jøran Sønstebyseter Rønning, వినియోగదారులు Microsoft Password Manager in Edgeపై ఆధారపడినప్పుడు, browser startup సమయంలో credentialsను decrypt చేసి, ఆ sessionలో ఆ credentialsకు సంబంధించిన sitesను వినియోగదారు ఎప్పుడూ సందర్శించకపోయినా కూడా, వాటిని process memoryలో ఉంచుతుందని చూపించారు.
source materialలో ఉన్న Microsoft ప్రతిస్పందన ప్రకారం, ఇది software bug కాకుండా expected behavior. memoryలో password dataకు browser access ఉండటం, applications వినియోగదారులు త్వరగా మరియు సురక్షితంగా sign in చేయడంలో సహాయపడే విధానంలో భాగమని సంస్థ ZDNETకు తెలిపింది. ఈ పరిస్థితిని exploit చేయడానికి device ఇప్పటికే compromised అయి ఉండాల్సిందే అని కూడా సంస్థ చెప్పింది.
ఈ రెండు వైఖరుల కలయికే ఈ కథనాన్ని ముఖ్యమైనదిగా చేస్తోంది. ఈ సమస్యను patch కోసం ఎదురుచూస్తున్న దాగి ఉన్న లోపంగా వర్గీకరించడం లేదు. బదులుగా, ఇది performance మరియు convenienceను విజయవంతమైన compromise వల్ల కలిగే పరిణామాల ఎదుట తూకం వేసే, అసౌకర్యకరమైన accepted design tradeoffs వర్గంలో పడుతుంది.
శోధకుడు ఏమి చూపించారు
Rønning, ఈ ప్రవర్తనను ప్రదర్శించడానికి GitHubలో EdgeSavedPasswordsDumper అనే codeను ప్రచురించారు. source text ప్రకారం, ఈ tool ద్వారా Edgeలో Microsoft Password Manager ఉపయోగించే వినియోగదారుల credentials browser process memoryలో plaintextగా కనిపించవచ్చని చూపబడింది. ఇది చర్చను కుదించేస్తుంది కాబట్టి ముఖ్యమైనది. ఈ finding, product యొక్క storage mechanismsలో passwords at rest ఎన్క్రిప్ట్ అయ్యాయా లేదా అనే దాని గురించి కాదు. browser వాటిని active use కోసం ఇప్పటికే decrypt చేసిన తర్వాత ఏమి జరుగుతుందనే దానిపై ఉంది.
ఆ researchర్ user experienceలో కనిపించే ఒక విరోధాన్ని కూడా చూపించారు. Edge, Password Manager interfaceలో passwords చూపించే ముందు మళ్లీ authentication కోరవచ్చు, కానీ అదే passwords ఇప్పటికే browser process memoryలో plaintextగా ఉండవచ్చు. interface protections మరియు runtime exposure మధ్య ఉన్న ఈ gap, సాంకేతికంగా తెలుసుకున్న వినియోగదారులను కలవరపెట్టే భాగం.
అయితే, source text Microsoft చెప్పిన ప్రాథమిక విషయాన్ని కూడా సమర్థిస్తోంది: ఇది తేలికగా చేయగల remote attack కాదు. వివరించిన scenario, attacker వద్ద ఇప్పటికే administrative rightsతో కూడిన user account compromise అయి ఉండడంపై ఆధారపడుతుంది. ఇది సమస్యను ప్రాధాన్యతలేమిగా చేయదు, కానీ అది ప్రారంభ ప్రవేశ బిందువు వద్ద కాకుండా attack chainలో తరువాత దశకు చేర్చుతుంది.
