Qualche tempo fa abbiamo discusso se fosse opportuno consentire al browser di memorizzare le password.
In quell'articolo abbiamo sottolineato l'importanza della crittografia.
“ Con un gestore di password del browser, qualcuno con accesso al tuo browser potrebbe vedere le tue password in chiaro, sebbene Windows può essere impostato per richiedere l'autenticazione (la stessa che si utilizza all'avvio del dispositivo).
In genere, i gestori di password dei browser salvano le password sul disco in forma crittografata, associandole all'account utente e proteggendole tramite il sistema operativo.
Ma recentemente, un ricercatore di sicurezza ha testato sistematicamente tutti i principali browser basati su Chromium per verificare come gestiscono le credenziali in memoria. Il ricercatore ha scoperto che Edge era l'unico a caricare l' intero archivio delle password nella memoria di processo in chiaro all'avvio, dove rimane per tutta la durata della sessione.
Chrome e altri browser Chromium sono stati osservati decrittografare una password solo quando necessario (compilazione automatica o "mostra password"), non l'intero vault, e utilizzare meccanismi come la crittografia associata all'app per le chiavi. Edge non utilizza tali protezioni in questo contesto.
Il ricercatore ha quindi deciso di realizzare un proof-of-concept (PoC) per dimostrare che l'accesso a tale vault non richiede l'utilizzo di vulnerabilità zero-day o tecniche di exploit complesse. Si basa infatti sulla capacità, relativamente semplice, di leggere la memoria di un processo, che richiede tuttavia privilegi elevati.
Ma quando il ricercatore ha segnalato il problema a Microsoft, la risposta è stata deludente. La risposta ufficiale dell'azienda è stata che tale comportamento è "previsto dal progetto". Probabilmente la motivazione è che questo comportamento accelera l'accesso e la compilazione automatica dei campi, e che gli hacker avrebbero comunque bisogno di un computer compromesso o di privilegi di accesso elevati per leggere la RAM, cosa che Microsoft considera al di fuori dell'ambito di questa scelta progettuale.
Il che è sostanzialmente vero. Un attaccante ha già bisogno di un punto d'appoggio significativo: ad esempio, l'esecuzione di codice sul sistema e la capacità di leggere Edge La memoria di processo del browser, spesso richiede privilegi elevati. Non si tratta di un bug remoto e non autenticato del browser, ma la sua progettazione facilita la raccolta di credenziali dopo la compromissione. Ed è una capacità che molti ladri di informazioni già possiedono.
È solo un'altra delle cose che un hacker può fare una volta che ha compromesso il tuo computer. Se a questo aggiungiamo lo studio accademico del 2024, secondo cui molti gestori di password, in determinate condizioni, lasciano trapelare le password in chiaro nella memoria, non possiamo che ribadire il nostro consiglio.
È opportuno consentire al browser di memorizzare le password?
Il gestore di password del tuo browser ti offre praticità, ma a scapito della sicurezza. Naturalmente, nemmeno i gestori di password sono infallibili, quindi è importante decidere autonomamente dove conservare le tue password.
Se sei sicuro che il sito web sia sicuro e che chiunque acceda al tuo account non possa scoprire nulla di nuovo, puoi tranquillamente salvare la password nel browser, ma disattiva la funzione di compilazione automatica per mantenere il controllo.
Utilizzal'autenticazione a più fattori (MFA) quando possibile. In questo modo riduci notevolmente il rischio nel caso in cui qualcuno dovesse entrare in possesso della tua password. Inoltre, evita di utilizzare il gestore di password del browser per memorizzare i dati della tua carta di credito o altre informazioni sensibili che consentono l'identificazione personale, come ad esempio le informazioni mediche.
Ma aggiungeremmo che, tra i principali browser, Edge Sembra essere l'opzione meno valida se si sceglie comunque di utilizzare un gestore di password integrato.
Blocca le minacce prima che possano causare danni.
Malwarebytes Browser Guard Blocca automaticamente le pagine di phishing e i siti dannosi. Gratuito, installazione con un solo clic. Aggiungilo al tuo browser →
