Microsoft Edge、全パスワードを平文でメモリ上に展開。セキュリティに懸念。MSの回答は | ニッチなPCゲーマーの環境構築Z

Microsoft Edgeは、起動時に保存されているすべてのパスワードをメモリ上に平文で展開していることが判明しました。 Microsoft Edgeは起動時にすべてのパスワードをメモリ上に平文で展開セキュリティ研究者のTom Jøran Sønstebyseter Rønning氏によると、Microsoft Edgeに保存されているすべてのパスワードは、Microsoft Edge起動時に復号化されて平文でメモリ上に展開・読み込みされるとのこと。 例えば保存されているパスワードの1つが「abcdefg」だった場合、その内容は暗号化されずに「abcdefg」のままでメモリ上に展開されます。 ほかのブラウザはどうかと申しますと、例えばChromeなんかは必要な場合にのみパスワードが復号化されます。ブラウザ起動時に平文でメモリ上に展開されるなんてことはありません。 Tom Jøran Sø

[sgo2]

意図的にメモリ保護例外を起こしてブラウザにダンプファイルを吐かせ、それを盗み見るという手口があり得そう。これなら完全掌握してなくても成立する。設定でダンプファイル生成をoffにしておいた方が良いかも。

[trace22]

ユーザが自分でパスワードを確認する時はWindows Helloを求めるのに？乗っ取られたプロセスは平文パスワードにアクセスできるのはおかしくね？

[nakag0711]

Chrome方式の方が好ましいんだろうが…元々メモリは機密事項の塊だからここだけ手間かけてもねということなんだろう

[jun_cham]

相変わらずマイクロソフトはこういう部分に手を抜くというか技術力が不足しているというか…。

[cinefuk]

インターネットエクスプローラーからChromeへ全社で切り替えた事件を思い出す。まだmixiやってる頃だった筈

[tor4kichi]

メモリダンプできる権限を取られた時点でセキュリティ情報を抜かれるようなロガーやランサムウェアを仕込まれて終わりなのでパスワードが平文じゃなかったとしても終わり。もっと手前で止めないと根本解決にならない

[burnoutdog]

Geminiに聞いたら、サンドボックスが無意味になってる状態でも、Chromeの実装の方が多層防御的として優秀でリスクを下げるってさ。

[shinobue679fbea]

ブラウザのメモリが見れる状態ってもう手遅れでは？と思ったら同じこと書いてる人がいた。離婚裁判で身内のPCからデータ抜きたい時くらいしか活用する機会なくない？

[yorkfield]

EdgeもChromium系なのに劣化されてるのか。パスワードマネージャーは自前実装だからか？

[hatebu_admin]

"平文で展開されていなければ、ブラウザに保存されているすべてのパスワードをメモリから抽出される、なんて二次被害を防ぐ" か？ ブラウザのメモリをダンプできる状態って乗っ取られてる状態やろ

[palm84]

うーむ

[type2902]

定期：危険な脆弱性発覚 → Microsoft「仕様」