Microsoft готовит изменение в браузере Edge 148: программа перестанет загружать все сохранённые пароли в память в открытом виде при запуске.
Обновление выходит вскоре после того, как исследователь безопасности Том Йоран Сёнстебюсетер Рённинг обнаружил, что Edge при старте расшифровывает все сохранённые учётные данные и хранит их в памяти. По его данным, Edge оказался единственным браузером на базе Chromium, который делает это для всех паролей сразу.
Для сравнения, Chrome расшифровывает и загружает пароль в память в открытом виде только тогда, когда пользователь сам запрашивает его просмотр.
После публикации отчёта Microsoft заявила, что такое поведение «является ожидаемой функцией приложения». Компания также уточнила, что получить доступ к этим данным можно лишь на устройстве, которое уже было скомпрометировано.
В новом сообщении Microsoft повторила эту позицию и указала, что текущее поведение не считает проблемой безопасности по своим внутренним критериям. Компания пишет: «Согласно нашим текущим критериям, это поведение укладывается в ожидаемую модель угроз, поскольку риск возникает после того, как злоумышленник уже получил контроль над устройством. В то же время мы считаем, что здесь есть возможность для улучшения».
При этом Microsoft всё же меняет работу браузера. В канале Canary новая схема уже доступна, а в ближайшее время она должна появиться у всех пользователей Edge.
Ситуация примечательна тем, что Microsoft одновременно настаивает на отсутствии серьёзного риска и выпускает быстрое исправление, которое меняет именно этот механизм обработки паролей.
Источник: Windows Central, блог Microsoft.
