Jakiś czas temu zastanawialiśmy się, czy warto zezwolić przeglądarce na zapamiętywanie haseł.
W tym artykule wspomnieliśmy o znaczeniu szyfrowania.
„ Dzięki menedżerowi haseł w przeglądarce osoba mająca dostęp do Twojej przeglądarki może zobaczyć Twoje hasła w postaci zwykłego tekstu, chociaż Windows można ustawić tak, aby żądał uwierzytelnienia (tego samego, którego używasz przy uruchamianiu urządzenia).”
Typowe działanie menedżerów haseł w przeglądarkach polega na przechowywaniu haseł w postaci zaszyfrowanej na dysku, powiązanych z kontem użytkownika i chronionych przez system operacyjny.
Niedawno jednak badacz ds. bezpieczeństwa systematycznie przetestował wszystkie główne przeglądarki oparte na Chromium pod kątem sposobu obsługi danych uwierzytelniających w pamięci. Badacz stwierdził, że Edge był jedynym, który ładował cały sejf haseł do pamięci procesu w postaci zwykłego tekstu podczas uruchamiania, gdzie pozostawał on przez cały czas trwania sesji.
Chrome i inne przeglądarki Chromium odszyfrowywały hasło tylko wtedy, gdy było to konieczne (automatyczne wypełnianie lub „pokazywanie hasła”), a nie całe hasło, a także korzystały z mechanizmów takich jak szyfrowanie kluczy powiązane z aplikacją. Edge nie stosuje tych zabezpieczeń w tym kontekście.
W związku z tym badacz postanowił stworzyć program typu proof-of-concept (PoC), aby wykazać, że uzyskanie dostępu do tego magazynu danych nie wymaga wykorzystania luk typu zero-day ani skomplikowanych metod ataku. Wymaga to jedynie stosunkowo prostej umiejętności odczytu pamięci procesu, co z kolei wymaga uprawnień administratora.
Kiedy jednak badacz zgłosił tę sprawę firmie Microsoft, reakcja nie była zbyt zachęcająca. Oficjalna odpowiedź firmy brzmiała, że takie zachowanie jest „zgodne z zamierzeniami”. Najprawdopodobniej uzasadniono to tym, że przyspiesza ono logowanie i autouzupełnianie, a atakujący musieliby już dysponować zainfekowanym komputerem lub uprawnieniami administratora, aby odczytać zawartość pamięci RAM, co Microsoft uznaje za wykraczające poza zakres tej decyzji projektowej.
Co jest zasadniczo prawdą. Atakujący musi już mieć znaczący punkt zaczepienia: na przykład możliwość wykonania kodu na komputerze i odczytania Edge Pamięć procesu, często wymagająca podwyższonych uprawnień. Nie jest to zdalny, nieuwierzytelniony błąd w przeglądarce, ale konstrukcja ułatwia zbieranie danych uwierzytelniających po naruszeniu. I jest to funkcja, którą wielu złodziei informacji już posiada.
To tylko kolejna rzecz, jaką może zrobić osoba atakująca po przejęciu kontroli nad Twoim komputerem. W połączeniu z wynikami badań naukowych z 2024 roku, które wykazały, że wiele menedżerów haseł w pewnych okolicznościach ujawnia hasła w postaci zwykłego tekstu w pamięci, skłania nas to do ponownego przekazania naszej rady.
Czy należy zezwolić przeglądarce na zapamiętywanie haseł?
Menedżer haseł w przeglądarce zapewnia wygodę użytkowania, ale wiąże się to z pewnym obniżeniem poziomu bezpieczeństwa. Oczywiście menedżery haseł również nie są niezawodne, dlatego warto samodzielnie zdecydować, gdzie przechowywać swoje hasła.
Jeśli masz pewność, że strona jest bezpieczna i nikt, kto uzyska dostęp do niej za pomocą Twojego konta, nie dowie się niczego nowego, możesz śmiało zapisać hasło w przeglądarce, ale wyłącz funkcję autouzupełniania, aby zachować kontrolę.
W miarę możliwości korzystaj zuwierzytelniania wieloskładnikowego (MFA). Znacznie zmniejsza to ryzyko na wypadek, gdyby ktoś zdobył Twoje hasło. Unikaj też przechowywania danych kart kredytowych lub innych wrażliwych danych osobowych, takich jak informacje medyczne, w menedżerze haseł przeglądarki.
Ale dodalibyśmy, że wśród głównych przeglądarek, Edge wydaje się być najsłabszą opcją, jeśli nadal chcesz korzystać z wbudowanego menedżera haseł.
Powstrzymaj zagrożenia, zanim wyrządzą jakąkolwiek szkodę.
Malwarebytes Browser Guard Automatycznie blokuje strony phishingowe i złośliwe witryny. Za darmo, wystarczy jedno kliknięcie, aby zainstalować. Dodaj do swojej przeglądarki →
