Microsoft Edge RAM‌లో పాస్‌వర్డులపై రక్షణలో నిలుస్తోంది, కానీ ఈ డిజైన్ కొత్త ప్రశ్నలను లేపుతోంది

పరిచితమైన tradeoffs‌తో కూడిన ఒక security finding

Microsoft ప్రస్తుతం తిరిగి పరిశీలనకు లోనైన browser ప్రవర్తనను సమర్థిస్తోంది: Edge‌లో managed saved passwords RAM‌లో plaintext‌గా ఉండవచ్చు. ఇచ్చిన source text ప్రకారం, security researcher Tom Jøran Sønstebyseter Rønning, వినియోగదారులు Microsoft Password Manager in Edge‌పై ఆధారపడినప్పుడు, browser startup సమయంలో credentials‌ను decrypt చేసి, ఆ session‌లో ఆ credentials‌కు సంబంధించిన sites‌ను వినియోగదారు ఎప్పుడూ సందర్శించకపోయినా కూడా, వాటిని process memory‌లో ఉంచుతుందని చూపించారు.

source material‌లో ఉన్న Microsoft ప్రతిస్పందన ప్రకారం, ఇది software bug కాకుండా expected behavior. memory‌లో password data‌కు browser access ఉండటం, applications వినియోగదారులు త్వరగా మరియు సురక్షితంగా sign in చేయడంలో సహాయపడే విధానంలో భాగమని సంస్థ ZDNET‌కు తెలిపింది. ఈ పరిస్థితిని exploit చేయడానికి device ఇప్పటికే compromised అయి ఉండాల్సిందే అని కూడా సంస్థ చెప్పింది.

ఈ రెండు వైఖరుల కలయికే ఈ కథనాన్ని ముఖ్యమైనదిగా చేస్తోంది. ఈ సమస్యను patch కోసం ఎదురుచూస్తున్న దాగి ఉన్న లోపంగా వర్గీకరించడం లేదు. బదులుగా, ఇది performance మరియు convenience‌ను విజయవంతమైన compromise వల్ల కలిగే పరిణామాల ఎదుట తూకం వేసే, అసౌకర్యకరమైన accepted design tradeoffs వర్గంలో పడుతుంది.

శోధకుడు ఏమి చూపించారు

Rønning, ఈ ప్రవర్తనను ప్రదర్శించడానికి GitHub‌లో EdgeSavedPasswordsDumper అనే code‌ను ప్రచురించారు. source text ప్రకారం, ఈ tool ద్వారా Edge‌లో Microsoft Password Manager ఉపయోగించే వినియోగదారుల credentials browser process memory‌లో plaintext‌గా కనిపించవచ్చని చూపబడింది. ఇది చర్చను కుదించేస్తుంది కాబట్టి ముఖ్యమైనది. ఈ finding, product యొక్క storage mechanisms‌లో passwords at rest ఎన్‌క్రిప్ట్ అయ్యాయా లేదా అనే దాని గురించి కాదు. browser వాటిని active use కోసం ఇప్పటికే decrypt చేసిన తర్వాత ఏమి జరుగుతుందనే దానిపై ఉంది.

ఆ researchర్ user experience‌లో కనిపించే ఒక విరోధాన్ని కూడా చూపించారు. Edge, Password Manager interface‌లో passwords చూపించే ముందు మళ్లీ authentication కోరవచ్చు, కానీ అదే passwords ఇప్పటికే browser process memoryలో plaintext‌గా ఉండవచ్చు. interface protections మరియు runtime exposure మధ్య ఉన్న ఈ gap, సాంకేతికంగా తెలుసుకున్న వినియోగదారులను కలవరపెట్టే భాగం.

అయితే, source text Microsoft చెప్పిన ప్రాథమిక విషయాన్ని కూడా సమర్థిస్తోంది: ఇది తేలికగా చేయగల remote attack కాదు. వివరించిన scenario, attacker వద్ద ఇప్పటికే administrative rights‌తో కూడిన user account compromise అయి ఉండడంపై ఆధారపడుతుంది. ఇది సమస్యను ప్రాధాన్యతలేమిగా చేయదు, కానీ అది ప్రారంభ ప్రవేశ బిందువు వద్ద కాకుండా attack chain‌లో తరువాత దశకు చేర్చుతుంది.

ఈ భేదం ఎందుకు ముఖ్యం

security ప్రశ్నలు చాలాసార్లు ఒక control ఎక్కడ పనిచేయడానికి ఉద్దేశించబడిందనే విషయంపై ఆధారపడతాయి. ఒక system remote abuse నుండి రక్షణ కోసం రూపొందించబడితే, at-rest protections మరియు user-interface checks అనేక సాధారణ threat models‌కు సరిపోవచ్చు. ఆందోళన post-compromise resilience అయితే, ప్రమాణాలు మారుతాయి. attacker local access పొందిన వెంటనే, memoryలో ఉంచిన ఏదైనా మరింత విలువైనదిగా మరియు మరింత ప్రమాదకరంగా మారుతుంది.

అందుకే Microsoft చెప్పిన “feature, not bug” అనే framing సాంకేతికంగా సరికొత్తగా ఉన్నప్పటికీ, వినియోగదారులను అసంతృప్తిగా ఉంచవచ్చు. product దృష్టిలో, credentials‌ను ముందుగా లోడ్ చేయడం responsiveness‌ను మెరుగుపరచి friction‌ను తగ్గించగలదు. security దృష్టిలో, ఇప్పటికే మరో సరిహద్దు దాటిన attacker‌కు అందుబాటులో ఉన్న sensitive material పరిమాణాన్ని పెంచుతుంది.

ఈ వాదనలో ఏ పక్షమూ తేలికపాటి విషయం కాదు. ఆధునిక software సజావుగా నడవడానికి memoryలో ఉన్న secrets‌పై తరచుగా ఆధారపడుతుంది. అదే సమయంలో, endpoint compromise అనేది ఊహాజనిత risk కాదు. ఒక browser అనేక ఖాతాల credentials‌ను కేంద్రీకరిస్తే, in-memory exposure‌ను విస్తరించే ఏ design choice‌కైనా scrutiny అవసరం.

source text‌లో స్థిరపరచిన ముఖ్యాంశాలు

• Edge, use లో ఉన్నప్పుడు saved passwords‌ను RAM‌లో plaintext‌గా ఉంచుతుంది.
• Microsoft ఇది expected behavior అని, device ఇప్పటికే compromised అయితే మాత్రమే ప్రాముఖ్యం ఉందని చెబుతోంది.
• శోధకుడి demonstration browser memory‌కు post-compromise access‌పై దృష్టి సారిస్తుంది.

విస్తృత browser-security చర్చ

ఈ కథనం browsers‌ను ఎలా అంచనా వేస్తున్నారనే దానిలోని పెద్ద మార్పును కూడా ప్రతిబింబిస్తుంది. అవి ఇకపై కేవలం page-rendering tools మాత్రమే కాదు. అవి identity hubs, payment helpers, sync clients, మరియు password managers కూడా. అంటే వాటి memory behavior, user-facing settings మాత్రమే కాదు, security-conscious వినియోగదారులు మరియు enterprise defenders‌కు మరింత ప్రాధాన్యం కలిగి ఉంది.

కొంతమందికి Microsoft వివరణ సరిపోతుంది. device ఇప్పటికే compromised అయి ఉంటే, అనేక ఇతర protections అప్పటికే విఫలమై ఉంటాయని వారు వాదించవచ్చు. మరికొందరికి, అదే ఈ సమస్య ఎందుకు ముఖ్యమో చెబుతుంది: sensitive credentials‌కు అప్పగించిన software, compromised స్థితిలో బహిర్గతమయ్యే ఉపయోగకరమైన dataని కనీసం తగ్గించాలి.

source text Microsoft మార్పును ప్రణాళికలో పెట్టిందని నిర్ధారించదు, అలాగే ఈ ప్రవర్తన పెద్ద స్థాయిలో చురుకుగా exploit చేయబడుతోందని కూడా చూపదు. కానీ ఇది తక్షణమే అంతరించిపోయే అవకాశం లేని నిజమైన design tension‌ను వెలుగులోకి తెస్తుంది. ప్రధాన browser‌లలోని password managers, user మరియు login మధ్య దశల సంఖ్యను తగ్గించి convenience‌ను వాగ్దానం చేస్తాయి. ఆ convenience‌కు చెల్లించే ధర, చాలాసార్లు, interface కింద పరిశోధకుడు చూసినప్పుడు మాత్రమే కనిపించే సంక్లిష్టత రూపంలో ఉంటుంది.

Developments Today కోసం, ఈ కథనం ప్రాముఖ్యం sensational “plaintext passwords” headline‌ కన్నా product architecture‌లో ఎక్కువ. కొన్ని technical contexts‌లో సాధారణంగా ఉండే, కానీ saved credentials చుట్టూ మరింత కఠినమైన compartmentalization ఆశించే వినియోగదారులకు వివరించడం కష్టం అయిన ఒక ఎంపికను Edge సమర్థించాల్సి వస్తోంది. ఈ చర్చ చివరికి compromise తర్వాత ఎంత exposure సమంజసం అనే విషయంపైనే కేంద్రీకృతమైంది, మరియు browser industry దీనిని మరింత కాలం ఎదుర్కొంటుంది.

ఈ వ్యాసం ZDNET నివేదిక ఆధారంగా ఉంది. మూల వ్యాసాన్ని చదవండి.