Microsoft a annoncé que cela allait changer. Edge La gestion des mots de passe de l'entreprise comme mesure de « défense en profondeur ».
Initialement, Edge Au démarrage, l'intégralité du magasin de mots de passe enregistrés était déchiffrée et toutes les informations d'identification résidant dans la mémoire du processus étaient conservées en clair pendant toute la durée de la session de navigation, qu'elles aient été utilisées ou non.
Il y a peu, Microsoft affirmait que ce comportement avec les mots de passe en clair était intentionnel . Aujourd'hui, Microsoft a changé d'avis, et ce nouveau comportement de gestion des mots de passe est déjà présent dans Canary (la version préliminaire expérimentale de Microsoft). Edge ), avec un déploiement prioritaire sur tous les canaux.
Le chercheur qui a initialement signalé le problème a déclaré :
« Edge est le seul navigateur basé sur Chromium que j'ai testé qui se comporte de cette manière. En revanche, Chrome utilise une conception qui rend beaucoup plus difficile pour les attaquants d'extraire les mots de passe enregistrés en lisant simplement la mémoire du processus.
Microsoft Edge Gareth Evans, responsable de la sécurité, a déclaré que Microsoft adopte désormais une vision plus large et s'est engagé à changer Edge Ainsi, les mots de passe enregistrés ne sont plus chargés en clair en mémoire au démarrage. De ce fait, l'exposition des données est réduite, ce qui constitue une amélioration de la sécurité en profondeur. Cela signifie que même si un attaquant dispose des droits d'administrateur sur un appareil, il lui sera plus difficile de récupérer tous les mots de passe.
Selon Microsoft :
« À l’avenir, Microsoft Edge Le navigateur ne chargera plus tous les mots de passe enregistrés en mémoire au démarrage. Désormais, les mots de passe ne seront déchiffrés que lorsque cela sera nécessaire pour le remplissage automatique ou la gestion des mots de passe.
Le changement est déjà effectif dans le Edge Le canal Canary sera inclus dans la prochaine mise à jour pour tous les appareils pris en charge. Edge versions (build 148 et plus récentes sur les versions Stable, Beta, Dev, Canary et Extended Stable).
La raison de ce changement est probablement davantage liée à des considérations de réputation et à une stratégie qu'à la reconnaissance d'une vulnérabilité exploitable. Microsoft semble vouloir aligner la réalité sur son discours de « sécurité dès la conception » et réduire une faiblesse très visible et facile à démontrer, même si l'entreprise ne la considère toujours pas comme une faille classique de divulgation de mémoire.
Mots de passe dans votre navigateur
Veuillez noter que ce changement signifie simplement Edge deviendra une option de stockage des mots de passe à peu près aussi sûre que n'importe quel autre navigateur basé sur Chromium.
Le gestionnaire de mots de passe de votre navigateur vous offre une grande facilité d'utilisation, mais cela a un coût en matière de sécurité. Bien sûr, aucun gestionnaire de mots de passe n'est infaillible ; il est donc important de choisir vous-même où stocker vos mots de passe.
Si vous êtes certain qu'un site web est sûr et que personne y accédant via votre compte ne pourrait apprendre d'informations sensibles, vous pouvez enregistrer votre mot de passe dans votre navigateur, mais désactivez la fonction de remplissage automatique pour garder le contrôle.
Utilisez l'authentification multifacteur (MFA) autant que possible . Elle réduit considérablement les risques si quelqu'un s'empare de votre mot de passe. Évitez également d'utiliser le gestionnaire de mots de passe de votre navigateur pour stocker vos informations de carte bancaire ou d'autres données personnelles sensibles, comme des informations médicales.
Soyons réalistes, une fenêtre de navigation privée a ses limites.
Intrusions de données, transactions sur le dark web, fraudes à la carte bancaire : Malwarebytes Identity Theft Protection vous protège contre tout cela, vous alerte rapidement et inclut une assurance contre l’usurpation d’identité.
