Некоторое время назад мы обсуждали, стоит ли разрешать браузеру запоминать ваши пароли.
В той статье мы упомянули о важности шифрования.
« При использовании менеджера паролей в браузере тот, кто имеет доступ к вашему браузеру, может увидеть ваши пароли в открытом виде, хотя…» Windows Можно настроить запрос аутентификации (той же, которую вы используете при запуске устройства).
Как правило, менеджеры паролей в браузерах хранят пароли в зашифрованном виде на диске, привязывая их к учетной записи пользователя и обеспечивая их защиту с помощью операционной системы.
Однако недавно исследователь в области безопасности систематически протестировал все основные браузеры на основе Chromium на предмет того, как они обрабатывают учетные данные в памяти. Исследователь обнаружил, что Edge Только он загружал всё хранилище паролей в память процесса в открытом виде при запуске, где оно и остаётся на протяжении всей сессии.
Chrome Было замечено, что другие браузеры на основе Chromium расшифровывают пароль только при необходимости (автозаполнение или «показать пароль»), а не всё хранилище целиком, и используют такие механизмы, как шифрование ключей, привязанное к приложению. Edge В данном контексте эти меры защиты не применяются.
Итак, исследователь решил создать прототип (PoC), демонстрирующий, что доступ к этому хранилищу не требует использования уязвимостей «нулевого дня» или сложных методов эксплуатации. Он основан на относительно простой возможности считывания памяти процесса, для чего, однако, требуются повышенные привилегии.
Однако когда исследователь сообщил об этой проблеме в Microsoft, реакция оказалась неутешительной. Официальный ответ компании заключался в том, что такое поведение является «заложенным в дизайн». Вероятнее всего, это объясняется тем, что данная особенность ускоряет процесс входа в систему и автозаполнение, а для чтения содержимого ОЗУ злоумышленникам уже потребовался бы скомпрометированный компьютер или права с повышенным уровнем доступа, что Microsoft считает выходящим за рамки данного проектного решения.
В принципе, это правда. Злоумышленнику уже необходимы значительные ресурсы: например, возможность выполнения кода на компьютере и способность читать код. Edge Память процесса часто требует повышенных привилегий. Это не удаленная, неаутентифицированная ошибка в браузере, но такая конструкция упрощает сбор учетных данных после взлома. И это возможность, которой уже обладают многие злоумышленники, занимающиеся кражей информации.
Это всего лишь ещё один из способов, которыми может воспользоваться злоумышленник после взлома вашего компьютера. В совокупности с результа тами научного исследования 2024 года, в ходе которого было установлено, что многие менеджеры паролей при определённых условиях передают пароли в виде открытого текста в оперативную память, это заставляет нас вновь повторить наш совет.
Следует ли разрешать браузеру запоминать ваши пароли?
Встроенный в браузер менеджер паролей обеспечивает удобство использования, но при этом снижает уровень безопасности. Конечно, менеджеры паролей тоже не являются абсолютно надежными, поэтому важно самостоятельно решить, где хранить свои пароли.
Если вы уверены, что сайт безопасен и что любой, кто получит доступ к нему под вашей учетной записью, не узнает ничего нового, можете смело сохранять пароль в браузере, но отключите функцию автозаполнения, чтобы сохранить контроль над ситуацией.
По возможности используйтемногофакторную аутентификацию (MFA). Это значительно снижает риск в случае, если кто-то получит доступ к вашему паролю. Также не храните данные кредитных карт или другую конфиденциальную личную информацию, например медицинские данные, в менеджере паролей браузера.
Но мы бы добавили, что среди основных браузеров... Edge Похоже, это самый слабый вариант, если вы все же решите использовать встроенный менеджер паролей.
Пресекайте угрозы, пока они не нанесли ущерб.
Malwarebytes Browser Guard Автоматически блокирует фишинговые страницы и вредоносные сайты. Бесплатно, установка в один клик. Добавьте в свой браузер →
