Microsoft ha detto che cambierà Edge la gestione delle password come misura di “difesa a più livelli”.
Originariamente, Edge Il sistema decrittografava l'intero archivio delle password salvate all'avvio e manteneva tutte le credenziali residenti nella memoria di processo in chiaro per l'intera sessione del browser, indipendentemente dal fatto che una determinata credenziale fosse stata utilizzata o meno.
Poco tempo fa, Microsoft ha affermato che questo comportamento delle password in chiaro era intenzionale . Ora, Microsoft ha cambiato rotta e il nuovo comportamento di gestione delle password è già presente in Canary (la versione di anteprima sperimentale di Microsoft Edge ), con implementazione prioritaria su tutti i canali.
Il ricercatore che per primo ha segnalato il problema ha dichiarato:
“ Edge è l'unico browser basato su Chromium che ho testato che si comporta in questo modo. Al contrario, Chrome Utilizza un design che rende molto più difficile per gli aggressori estrarre le password salvate semplicemente leggendo la memoria di processo."
Microsoft Edge Il responsabile della sicurezza Gareth Evans ha affermato che Microsoft sta ora adottando una prospettiva più ampia e si è impegnata a cambiare Edge In questo modo, le password salvate non vengono più caricate in memoria all'avvio in chiaro. Di conseguenza, l'esposizione al rischio si riduce, rappresentando un miglioramento della difesa multilivello. Ciò significa che, anche se un utente malintenzionato ha il controllo amministrativo di un dispositivo, diventa più difficile recuperare tutte le password.
Secondo Microsoft:
“In futuro, Microsoft Edge Il browser non caricherà più tutte le password salvate in memoria all'avvio. Le password verranno invece decrittografate solo quando necessario per il riempimento automatico o per le operazioni di gestione delle password.
La modifica è già attiva nel Edge Canale Canary e sarà incluso nel prossimo aggiornamento per tutti i dispositivi supportati Edge rilasci (build 148 e successive per le versioni Stable, Beta, Dev, Canary ed Extended Stable).
Il motivo di questo cambiamento è probabilmente più legato alla reputazione e alla strategia che al riconoscimento di una vulnerabilità sfruttabile. Microsoft sembra voler allineare la realtà al proprio messaggio di "sicurezza fin dalla progettazione" e ridurre una debolezza molto evidente e facile da dimostrare, anche se continua a non considerarla un classico bug di divulgazione della memoria.
Le password nel browser
Si prega di notare che questo cambiamento significa solo Edge diventerà un'opzione per l'archiviazione delle password sicura quanto qualsiasi altro browser basato su Chromium.
Il gestore di password del tuo browser ti offre una grande praticità, ma comporta alcuni compromessi in termini di sicurezza. Naturalmente, nemmeno i gestori di password sono infallibili, quindi è importante decidere autonomamente dove conservare le tue password.
Se sei sicuro che un sito web sia sicuro e che chiunque acceda tramite il tuo account non possa venire a conoscenza di informazioni riservate, puoi tranquillamente salvare la password nel browser, ma disattiva la funzione di compilazione automatica in modo da mantenere il controllo.
Utilizzal'autenticazione a più fattori (MFA) quando possibile. In questo modo riduci notevolmente il rischio nel caso in cui qualcuno dovesse entrare in possesso della tua password. Inoltre, evita di utilizzare il gestore di password del browser per memorizzare i dati della tua carta di credito o altre informazioni sensibili che consentono l'identificazione personale, come ad esempio le informazioni mediche.
Ammettiamolo, una finestra di navigazione in incognito può fare solo fino a un certo punto.
Violazioni dei dati, commercio sul dark web, frodi con carte di credito. Malwarebytes Identity Theft Protection monitora tutto questo, ti avvisa tempestivamente e include un'assicurazione contro il furto d'identità.
