A Microsoft disse que vai mudar. Edge a gestão de palavras-passe como medida de "defesa em profundidade".
Originalmente, Edge Desencriptava todo o armazenamento de palavras-passe guardadas no arranque e mantinha todas as credenciais residentes na memória do processo em texto não encriptado durante toda a sessão do browser, independentemente de uma determinada credencial ter sido utilizada ou não.
Há pouco tempo, a Microsoft afirmou que este comportamento de palavra-passe em texto simples era intencional . Agora, a Microsoft mudou de ideias, e o novo comportamento de gestão de palavras-passe já está presente no Canary (a versão experimental de pré-visualização do Microsoft Office). Edge ), com implementação priorizada em todos os canais.
O investigador que inicialmente assinalou o problema afirmou:
“ Edge é o único browser baseado no Chromium que testei que se comporta desta forma. Em contrapartida, Chrome utiliza um design que torna muito mais difícil para os atacantes extrair palavras-passe guardadas simplesmente lendo a memória do processo.”
Microsoft Edge O responsável pela segurança, Gareth Evans, afirmou que a Microsoft está agora a adotar uma visão mais ampla e comprometeu-se a mudar. Edge Desta forma, as palavras-passe guardadas não serão mais carregadas na memória em texto simples na inicialização. Como resultado, a exposição será reduzida, representando uma melhoria na defesa em profundidade. Isto significa que, mesmo que um atacante tenha controlo administrativo de um dispositivo, será mais difícil recolher todas as palavras-passe.
Segundo a Microsoft:
“Daqui para a frente, a Microsoft Edge O browser já não carregará todas as palavras-passe guardadas na memória ao iniciar. Em vez disso, as palavras-passe serão desencriptadas apenas quando necessário para o preenchimento automático ou para operações de gestão de palavras-passe.
A alteração já está em vigor no Edge O canal Canary será incluído na próxima atualização para todos os dispositivos compatíveis. Edge versões (compilação 148 e posteriores nas versões Estável, Beta, Desenvolvimento, Canário e Estável Estendida).
A razão para esta alteração é provavelmente mais de natureza reputacional e estratégica do que o reconhecimento de uma vulnerabilidade explorável. A Microsoft parece querer alinhar a realidade com a sua mensagem de «segurança desde a conceção» e reduzir uma fraqueza muito visível e fácil de demonstrar, mesmo que ainda não a trate como um bug clássico de divulgação de memória.
Palavras-passe no seu navegador
Note-se que esta alteração significa apenas Edge tornar-se-á uma opção para armazenar palavras-passe praticamente tão segura como qualquer outro browser baseado no Chromium.
O gestor de palavras-passe do seu navegador oferece-lhe facilidade de utilização, mas isso implica alguns compromissos em termos de segurança. É claro que os gestores de palavras-passe também não são infalíveis, por isso é importante decidir por si mesmo onde guardar as suas palavras-passe.
Se tiver a certeza de que um site é seguro e de que ninguém que aceda ao mesmo através da sua conta terá acesso a informações confidenciais, pode guardar a palavra-passe no seu navegador, mas desative o preenchimento automático para manter o controlo.
Sempre que possível, utilizea autenticação multifator (MFA). Isso reduz consideravelmente o risco caso alguém consiga obter a sua palavra-passe. Além disso, evite utilizar o gestor de palavras-passe do navegador para guardar os dados do seu cartão de crédito ou outras informações pessoais sensíveis, como dados médicos.
Sejamos sinceros, uma janela anónima tem as suas limitações.
Invasões de dados, comércio ilegal na dark web, fraudes com cartões de crédito. Malwarebytes Identity Theft Protection monitoriza tudo isto, alerta-o rapidamente e inclui seguro contra roubo de identidade.
