Microsoft Edge-adgangskoder vil snart få stærkere beskyttelse, efter at Microsoft bekræftede en stor ændring i måden, browseren håndterer gemte loginoplysninger på. Virksomheden planlægger at stoppe Edge fra at indlæse gemte adgangskoder i klartekst i processens hukommelse, når browseren starter.
Beslutningen kommer efter kritik fra sikkerhedsforskere, som advarede om, at den tidligere adfærd skabte unødvendig eksponering. Microsoft beskrev først problemet som “by design”, men har nu ændret kurs og vil implementere et ekstra sikkerhedslag i understøttede Edge-versioner.
Forsker Opdagede At Adgangskoder Blev Indlæst Ved Opstart
Sikkerhedsforsker Tom Jøran Sønstebyseter Rønning afslørede problemet den 4. maj. Han sagde, at Edge dekrypterede alle gemte legitimationsoplysninger, når browseren startede, og beholdt dem i hukommelsen, selv når brugerne ikke besøgte de tilknyttede websites.
Den adfærd gjorde Microsoft Edge anderledes end nogle andre Chromium-baserede browsere. Ifølge forskeren dekrypterer Chrome kun legitimationsoplysninger ved behov, hvilket gør omfattende memory scraping sværere for angribere.
Rønning udgav også et proof-of-concept-værktøj, som viste, hvordan angribere kunne dumpe gemte legitimationsoplysninger fra Edge-processer. Med administratorrettigheder kunne en angriber målrette andre brugeres Edge-processer. Uden administratorrettigheder kunne værktøjet få adgang til Edge-processer, der kørte under den samme brugerkonto.
Derfor Skabte Problemet Bekymring
Risikoen er vigtig, fordi mange moderne cyberangreb fokuserer på tyveri af legitimationsoplysninger. Infostealer-malware retter sig ofte mod browsere, sessionsdata og gemte loginoplysninger efter at have fået adgang til en enhed.
Microsoft argumenterede for, at scenariet allerede krævede et kompromitteret system. Sikkerhedsforskere var dog uenige i den vurdering. De mente, at browsere stadig bør reducere eksponeringen af følsomme data, hvor det er muligt, især i virksomhedsmiljøer.
Delte systemer, fjernskriveborde og arbejdsstationer i virksomheder kan medføre højere risici. Hvis angribere får stærk lokal adgang, kan adgangskoder i klartekst i hukommelsen øge skaderne fra en enkelt kompromitteret maskine.
Microsoft Ændrer Sin Tidligere Holdning
Microsoft sagde først, at adfærden var forventet og ikke faldt uden for virksomhedens trusselsmodel. Virksomheden har nu bekræftet, at Edge vil stoppe med at indlæse gemte adgangskoder i hukommelsen ved opstart.
Gareth Evans, sikkerhedschef for Microsoft Edge, sagde, at ændringen afspejler en bredere sikkerhedstilgang under Microsofts Secure Future Initiative. I stedet for kun at fokusere på strenge definitioner af sårbarheder vil Microsoft også forsøge at reducere unødvendig eksponering.
Rettelsen er allerede tilgængelig i Edge Canary. Microsoft planlægger at udrulle ændringen til alle understøttede Edge-kanaler, herunder Stable, Beta, Dev, Canary og Extended Stable til virksomheder, fra build 148 og nyere.
Hvad Brugere Bør Gøre Nu
Brugere bør holde Microsoft Edge opdateret, efterhånden som rettelsen bliver tilgængelig i flere release-kanaler. Virksomheder bør også gennemgå deres politikker for browseradgangskoder, især i delte eller højrisikomiljøer.
En dedikeret adgangskodeadministrator kan tilbyde stærkere beskyttelse til brugere, der håndterer mange følsomme konti. Multifaktorgodkendelse er fortsat vigtig, da stjålne adgangskoder alene ikke bør give angribere fuld adgang.
Konklusion
Opdateringen til Microsoft Edge-adgangskoder viser, hvordan sikkerhedspres kan føre til praktiske produktændringer. Microsoft klassificerer måske ikke den oprindelige adfærd som en traditionel sårbarhed, men reduceret eksponering af adgangskoder i klartekst forbedrer stadig beskyttelsen.
Ændringen vil ikke stoppe alle angreb, der stjæler legitimationsoplysninger. Den bør dog gøre Edge til et mere sikkert valg for brugere, der er afhængige af browserens indbyggede adgangskodeadministrator.
0 svar til “Microsoft Edge-adgangskoder bliver sikrere efter ny opdatering”