Há algum tempo, discutimos se se deve permitir que o navegador guarde as suas palavras-passe.
Nesse artigo, referimos a importância da encriptação.
Com um gestor de palavras-passe de navegador, alguém com acesso ao seu navegador poderia ver as suas palavras-passe em texto não encriptado, embora Windows Pode ser configurado para solicitar autenticação (a mesma que utiliza ao iniciar o dispositivo).
O comportamento habitual dos gestores de palavras-passe dos navegadores consiste em armazenar as palavras-passe encriptadas no disco, associadas à sua conta de utilizador e protegidas pelo sistema operativo.
Mas recentemente, um investigador de segurança testou sistematicamente todos os principais navegadores baseados no Chromium para verificar como lidam com as credenciais na memória. O investigador descobriu que Edge era o único que transportava todo o cofre de palavras-passe na memória do processo em texto simples no arranque, onde permanecia durante toda a sessão.
Chrome Observou-se que outros navegadores Chromium desencriptavam apenas uma palavra-passe quando necessário (preenchimento automático ou "mostrar palavra-passe"), e não todo o cofre de palavras-passe, além de utilizarem mecanismos como a encriptação ligada à aplicação para as chaves. Edge não utiliza estas proteções neste contexto.
Assim, o investigador decidiu criar uma demonstração de viabilidade (PoC) para mostrar que o acesso a esse cofre não depende de vulnerabilidades zero-day nem de explorações complexas. Baseia-se na capacidade relativamente simples de ler a memória do processo, o que requer privilégios elevados.
Mas quando o investigador comunicou o problema à Microsoft, a resposta foi dececionante. A resposta oficial da empresa foi que esse comportamento é «intencional». O raciocínio provável é que esse comportamento acelera o processo de início de sessão e o preenchimento automático, e que os atacantes já precisariam de um computador comprometido ou de acesso com privilégios elevados para ler a memória RAM, o que a Microsoft considera fora do âmbito desta decisão de conceção.
O que é basicamente verdade. Um atacante já precisa de uma vantagem significativa: por exemplo, a execução de código no sistema e a capacidade de ler Edge A memória do processo do navegador é acedida, exigindo muitas vezes privilégios elevados. Esta não é uma falha remota e não autenticada no browser, mas o design facilita a recolha de credenciais após a intrusão. E é uma capacidade que muitos ladrões de informação já possuem.
É apenas mais uma coisa que um invasor pode fazer depois de ter comprometido o seu computador. Em conjunto com este estudo académico de 2024, que revelou que muitos gestores de palavras-passe divulgam palavras-passe em texto simples na memória em determinadas condições, isso leva-nos a reiterar o nosso conselho.
Deve permitir que o seu navegador memorize as suas palavras-passe?
O gestor de palavras-passe do seu navegador oferece-lhe facilidade de utilização, mas isso tem um custo em termos de segurança. É claro que os gestores de palavras-passe também não são infalíveis, por isso é importante decidir por si mesmo onde guardar as suas palavras-passe.
Se tiver a certeza de que o site é seguro e de que ninguém que aceda à sua conta descobrirá nada de novo, pode guardar a palavra-passe no seu navegador, mas desative o preenchimento automático para manter o controlo.
Sempre que possível, utilizea autenticação multifator (MFA). Isso reduz consideravelmente o risco caso alguém consiga obter a sua palavra-passe. Além disso, evite utilizar o gestor de palavras-passe do navegador para guardar os dados do seu cartão de crédito ou outras informações pessoais sensíveis, tais como dados médicos.
Mas gostaríamos de acrescentar que, entre os principais navegadores, Edge Parece ser a opção mais frágil caso ainda opte por utilizar um gestor de palavras-passe integrado.
Impedir as ameaças antes que causem qualquer dano.
Malwarebytes Browser Guard Bloqueia automaticamente páginas de phishing e sites maliciosos. Gratuito, instalação com um clique. Adicione ao seu browser →
