Microsoft Edge: a mentett jelszavak titkosítatlanul kerülnek memóriába – amit érdemes tudnod

Microsoft Edge-ben a mentett jelszavak nem feltétlenül ott maradnak, ahol te gondolod. Egy biztonsági kutató szerint a böngésző minden indításkor visszafejti a tárolt jelszavakat, majd azokat olvasható (cleartext) formában betölti a memóriába a böngészési munkamenet teljes idejére.

Ez azért fontos, mert a jelszavaid így a készüléked memóriájában “láthatóvá” válhatnak. Akkor is, ha nem nyitod meg azokat a webhelyeket, amelyekhez a fiókok tartoznak.

Mi történik a háttérben a Microsoft Edge-ben?

A leírt működés lényege egyszerű: minden alkalommal, amikor megnyitod a böngészőt, a mentett jelszavakat Edge visszafejti, és betölti a memóriába.

Nem csak az a gond, hogy rövid időre kerülnek elő. A állítás szerint a jelszavak a teljes session alatt cleartext formában bent maradhatnak.

Szerintem ez jól illusztrálja, mennyire nem elég “kényelmesnek” lenni, ha közben a biztonsági logika megkérdőjelezhető.

Miért más a helyzet a Chrome-nál?

Hiába épül a Microsoft Edge a Chromium nyílt forráskódra, a jelszókezelés nem teljesen ugyanaz. A beszámolók szerint a Chrome csak akkor fejti vissza a jelszót, amikor ténylegesen szükség van rá, például automatikus kitöltéskor.

Ráadásul a Chrome-ban szerepel egy Application-Bound Encryption nevű funkció is. Ez a visszafejtési kulcsokat egy hitelesített folyamat kereteihez köti, így a memóriából való kinyerés sokkal nehezebb.

Ezzel szemben a kutató szerint az Edge nem alkalmaz ilyen, a támadások ellen jobban védő kötést.

Komolyan kell aggódnod?

A Microsoft válasza az volt, hogy az eljárás a gyors bejelentkezést szolgálja. Azt is hozzátették, hogy a kihasználáshoz azonnal adminisztrátori jogosultság kellene a támadónak.

Ez valóban fontos megállapítás: a gyakorlatban az admin hozzáférés már lényegében teljes rendszerkompromittálás. Ugyanakkor a szakértők óvatosságra intenek, mert az újabb kártevők kifejezetten a “tárolt titok” és a “futás közbeni megjelenés” közti ablakot célozhatják.

A tanácsok ezért böngészőtől függetlenül hasonlók: érdemes nem a böngészőben tárolni a jelszavakat, hanem dedikált jelszókezelőt használni. Ez több rétegben csökkenti az esélyt, hogy a jelszó futás közben olvashatóvá váljon.

Nálad melyik a kényelmesebb megoldás: hagyod Edge-ben a jelszavaidat, vagy inkább átváltanál egy megbízható jelszókezelőre? Én most inkább az utóbbit választanám, főleg ha a böngésző logikája ennyire “átjárható”.