Bir siber güvenlik araştırmacısı, Microsoft Edge tarayıcısının kayıtlı şifreleri bilgisayarın RAM’inde şifrelenmemiş (düz metin) halde tuttuğunu ortaya çıkardı. Norveçli araştırmacı Tom Jøran Sønstebyseter Rønning’e göre Edge, tarayıcı açıldığı anda tüm kayıtlı şifreleri çözerek belleğe yüklüyor. Bu durum, kullanıcı o oturumda ilgili siteleri hiç ziyaret etmese bile geçerli oluyor.
Örneğin sosyal medya hesap şifrelerinizi kaydeden birisyseniz ve kullandığınız bilgisayar ortak veya bir işyeri bilgisayarıysa başka bir kullanıcı çok rahatlıkla hesaplarınıza erişebilir. Tani burada 2FA’nın önemi de söz konusu. Aktif tutmak ve SMS yerine uygulamalar üzerinden aktivasyon yapmak gerek.
Microsoft Edge şifreleri çözülmüş olarak tutuyor
Araştırmacı, bunun diğer Chromium tabanlı tarayıcılardan farklı olduğunu söylüyor. Örneğin Google Chrome, şifreleri yalnızca gerektiğinde çözüyor ve kısa süreli olarak bellekte tutuyor.
Risk ne?
Eğer bir saldırgan bilgisayara yerel olarak erişim sağlayabilirse (özellikle yönetici yetkileriyle), RAM’de bulunan bu şifreleri doğrudan okuyabilir.
- Ortak kullanılan bilgisayarlarda
- Terminal sunucularında
- Ele geçirilmiş sistemlerde
tüm kullanıcı şifrelerinin ortaya çıkmasına yol açabilir.
Araştırmacı, Microsoft’a bu durumu bildirdiğinde şirketin bunun bir “güvenlik açığı değil, tasarım gereği” olduğunu söylediğini aktardı.
Araştırmacının açıklaması
Rønning’e göre Edge, her şifreyi başlangıçta çözüyor ve süreç belleğinde tutuyor. Bu yüzden saldırgan, yönetici erişimi elde ederse diğer kullanıcıların oturumlarına ait şifreleri de çekebiliyor. Araştırmacı ayrıca bu durumu göstermek için bir araç (proof-of-concept) da paylaştı.
Microsoft’un yaklaşımı
Microsoft, bunun kasıtlı bir tasarım olduğunu ve performans/kolaylık nedeniyle böyle çalıştığını savunuyor. Şirket, bu durumun ancak cihaz zaten ele geçirilmişse kötüye kullanılabileceğini belirtiyor.