Edge może z łatwością ujawnić wszystkie hasła.

[Muchomorek]

Microsoft twierdzi, że jest to zamierzone.

Specjalista ds. cyberbezpieczeństwa, Tom Jøran Sønstebyseter Rønning, opublikował narzędzie typu proof-of-concept (PoC), które rzuca nowe światło na sposób przechowywania haseł w przeglądarce Microsoft Edge. Autor.

Z opublikowanych informacji wynika, że Edge ładuje zapisane dane logowania do pamięci operacyjnej w postaci jawnego tekstu już podczas uruchamiania. Co istotne, dzieje się to nawet wtedy, gdy użytkownik nie korzysta aktywnie z tych danych. Co więcej, przeglądarka wciąż może wymagać ponownego logowania, mimo że hasła znajdują się już w niezaszyfrowanej formie w RAM.

    Z opublikowanych informacji wynika, że Edge ładuje zapisane dane logowania do pamięci operacyjnej w postaci jawnego tekstu już podczas uruchamiania.



Aby zobrazować problem, badacz udostępnił projekt ,,EdgeSavedPasswordsDumper" na platformie GitHub. Narzędzie ma charakter edukacyjny i pozwala specjalistom oraz użytkownikom sprawdzić, jak przeglądarka zarządza zapisanymi poświadczeniami. Działa poprzez analizę pamięci procesu, w której mogą znajdować się czytelne nazwy użytkowników i ich hasła.
Potencjalne ryzyko dla środowisk współdzielonych

Według obserwacji, nadrzędny proces Edge przechowuje odszyfrowane dane logowania, co może stanowić cel dla ataku przy uzyskaniu odpowiednich uprawnień. Szczególnie narażone są organizacje korzystające ze współdzielonych systemów, bo przejęcie konta z uprawnieniami administratora może umożliwić dostęp do danych wielu użytkowników. Warto zaznaczyć, że choć nie jest to podatność umożliwiająca zdalny atak sama w sobie, w scenariuszach z już uzyskanym dostępem uprzywilejowanym może zostać wykorzystana np. poprzez techniki dumpowania pamięci.
Edge na tle konkurencji

Co ciekawe, problem wydaje się dotyczyć wyłącznie Edge wśród przeglądarek opartych na Chromium. W testach Google Chrome czy Brave nie wykazywały bowiem podobnego zachowania. Zazwyczaj odszyfrowują dane logowania tylko w momencie ich użycia, zamiast przechowywać je stale w pamięci. Nie oznacza to jednak, że konkurencja jest wolna od wad, ponieważ Chrome jest często krytykowany choćby za braki w ochronie przed fingerprintingiem.
Microsoft: ,,to działa zgodnie z założeniami"

Najbardziej zaskakująca jest reakcja Microsoft. Firma miała sklasyfikować opisane zachowanie jako ,,zgodne z projektem"  nie przedstawiając dalszych wyjaśnień - coś na zasadzie słynnego wyjaśnienia Apple " to funkcja, a nie wada". To rodzi pytania o priorytety bezpieczeństwa i sposób zarządzania wrażliwymi danymi w popularnej przeglądarce.  Wprowadzenie do problemu / definicja
Nowe ustalenia dotyczące przeglądarki Microsoft Edge wskazują na istotny problem z obsługą zapisanych poświadczeń. Chodzi o sytuację, w której hasła zapisane przez użytkownika mogą zostać odszyfrowane i utrzymywane w pamięci procesu w postaci jawnej, co zwiększa ryzyko ich przejęcia przez podmiot dysponujący odpowiednio wysokimi uprawnieniami na systemie Windows.
Nie jest to klasyczna luka umożliwiająca zdalne wykonanie kodu ani podniesienie uprawnień. Zagrożenie dotyczy raczej modelu bezpieczeństwa i sposobu zarządzania sekretami w pamięci operacyjnej. W praktyce oznacza to, że po przejęciu hosta lub uzyskaniu lokalnych uprawnień administracyjnych atakujący może próbować odczytać poufne dane z pamięci procesu przeglądarki.
W skrócie

• Microsoft Edge ma przechowywać odszyfrowane hasła w pamięci procesu szerzej, niż oczekiwaliby specjaliści bezpieczeństwa.
• Scenariusz ataku wymaga lokalnych uprawnień administracyjnych do systemu Windows.
• Największe ryzyko dotyczy środowisk współdzielonych, takich jak VDI, Citrix czy serwery terminalowe.
• Pozyskane poświadczenia mogą posłużyć do ruchu bocznego, przejęcia kont i eskalacji incydentu.
• Problem należy traktować jako wzmacniacz skutków już istniejącej kompromitacji hosta.

Kontekst / historia
Temat zyskał rozgłos po prezentacji proof-of-concept przygotowanego przez badacza bezpieczeństwa Toma Jørana Sønstebysetera Rønninga. Z jego ustaleń wynika, że Edge może działać inaczej niż część innych przeglądarek opartych na Chromium, ponieważ zapisane poświadczenia są ładowane do pamięci w sposób zwiększający ich ekspozycję.
Znaczenie tej kwestii rośnie w organizacjach, które wykorzystują Edge jako domyślną przeglądarkę w środowisku Windows. W infrastrukturach wielosesyjnych, gdzie na jednym hoście pracuje wielu użytkowników, kompromitacja jednego systemu z uprawnieniami administracyjnymi może przełożyć się na dostęp do poświadczeń należących do wielu osób.
Analiza techniczna
Sedno problemu sprowadza się do ekspozycji sekretów w pamięci procesu. Jeżeli przeglądarka utrzymuje zapisane hasła w postaci jawnej w RAM, napastnik z lokalnymi uprawnieniami administracyjnymi może wykorzystać techniki dumpingu pamięci lub inspekcji procesów do ich odzyskania. Nie wymaga to łamania szyfrowania magazynu haseł w tradycyjnym rozumieniu, ponieważ kluczowy jest moment, w którym dane są już odszyfrowane.
W środowiskach terminalowych i VDI zagrożenie jest szczególnie istotne. Administrator systemu lub atakujący, który przejął takie uprawnienia, może analizować pamięć procesów uruchomionych w innych sesjach użytkowników. Jeżeli Edge przechowuje tam odszyfrowane poświadczenia, możliwe staje się ich pozyskanie bez potrzeby przechwytywania ruchu sieciowego.
Istotne jest także rozróżnienie między ochroną w interfejsie użytkownika a rzeczywistą ochroną sekretów w pamięci. To, że przeglądarka wymaga dodatkowego potwierdzenia przy wyświetlaniu zapisanych haseł, nie oznacza automatycznie, że te same dane są odpowiednio zabezpieczone przed odczytem z RAM przez lokalnie uprzywilejowanego użytkownika.
Analiza porównawcza sugeruje ponadto, że inne przeglądarki oparte na Chromium mogą stosować bardziej restrykcyjny model odszyfrowywania poświadczeń i krótszy czas ich utrzymywania w pamięci. Z perspektywy bezpieczeństwa znaczenie ma więc nie tylko sam fakt szyfrowania magazynu haseł, ale również czas życia sekretu po odszyfrowaniu oraz możliwość jego ponownego wykorzystania.
Konsekwencje / ryzyko
Największe ryzyko dotyczy organizacji, w których wielu użytkowników współdzieli jeden host, sesje są utrzymywane przez długi czas, a dostęp administracyjny jest zbyt szeroko przyznawany. W takich warunkach przeglądarka może stać się wygodnym źródłem poświadczeń dla atakującego, który już uzyskał foothold na systemie.
Skutki mogą być bardzo poważne. Pozyskane hasła mogą otworzyć drogę do poczty elektronicznej, usług SaaS, paneli administracyjnych, narzędzi deweloperskich, VPN czy systemów finansowych. To z kolei sprzyja ruchowi bocznemu, nadużyciom tożsamości, eskalacji uprawnień i rozwinięciu incydentu do poziomu obejmującego wiele segmentów organizacji.
Na pojedynczych, dobrze zarządzanych stacjach roboczych ryzyko jest niższe, ale nie znika całkowicie. Każdy scenariusz przejęcia urządzenia z odpowiednio wysokimi uprawnieniami może bowiem doprowadzić do ekspozycji sekretów zapisanych w przeglądarce.
Rekomendacje
Najważniejszym krokiem ograniczającym ryzyko jest rozważenie wyłączenia funkcji zapisywania haseł w Microsoft Edge za pomocą polityk organizacyjnych, szczególnie na hostach współdzielonych, serwerach terminalowych, platformach VDI oraz systemach administracyjnych.

• ograniczyć liczbę lokalnych administratorów i stosować zasadę najmniejszych uprawnień,
• unikać przechowywania haseł przeglądarkowych na hostach współdzielonych,
• wdrożyć zarządzane menedżery haseł klasy enterprise z audytem i kontrolą dostępu,
• monitorować próby dumpingu pamięci oraz nietypowy dostęp do procesów,
• segmentować środowiska uprzywilejowane od zwykłych stacji roboczych,
• skracać czas życia sesji i wymuszać wylogowanie z nieużywanych środowisk zdalnych,
• rozwijać detekcję technik memory scrapingu i nadużyć narzędzi diagnostycznych.

Z perspektywy zespołów bezpieczeństwa warto również skorygować komunikację wewnętrzną. Ochrona interfejsu użytkownika nie jest równoznaczna z ochroną danych w pamięci operacyjnej, dlatego użytkownicy i administratorzy powinni rozumieć ograniczenia wbudowanego magazynu haseł przeglądarki.
Podsumowanie
Sprawa Microsoft Edge pokazuje, że bezpieczeństwo poświadczeń nie zależy wyłącznie od szyfrowania ich magazynu, ale także od tego, kiedy i jak długo sekrety pozostają odszyfrowane w pamięci procesu. W środowiskach firmowych, szczególnie współdzielonych i wielosesyjnych, taki model może wyraźnie zwiększać promień rażenia po uzyskaniu dostępu administracyjnego do hosta.
Dla organizacji oznacza to potrzebę ograniczenia zależności od przeglądarki jako repozytorium haseł, lepszej kontroli dostępu uprzywilejowanego oraz skuteczniejszego monitorowania technik pozyskiwania danych z pamięci. To problem architektoniczny, który może znacząco zwiększyć skutki już istniejącego naruszenia.

Źródła

• Dark Reading — Microsoft Edge Stores Passwords in Process Memory, Posing Enterprise Risk — Nie masz uprawnień do wyświetlania linków. Zarejestruj się lub Zaloguj
• GitHub — materiały proof-of-concept powiązane z analizą badacza — Nie masz uprawnień do wyświetlania linków. Zarejestruj się lub Zaloguj
• Google Chrome for Developers — informacje o architekturze bezpieczeństwa Chromium i mechanizmach ochrony danych — Nie masz uprawnień do wyświetlania linków. Zarejestruj się lub Zaloguj

You cannot view this attachment.