مایکروسافت عقب‌نشینی کرد: Edge دیگر رمزهای عبور را در حافظه بارگذاری نمی‌کند

مایکروسافت پس از آنکه ابتدا این رفتار را «طراحی‌شده» توصیف کرده بود، اعلام کرد که نسخه‌های آینده مرورگر Edge دیگر رمزهای عبور ذخیره‌شده را هنگام راه‌اندازی به‌صورت متن ساده (clear text) در حافظه پردازش (process memory) بارگذاری نخواهند کرد. این آسیب‌پذیری در چهارم ماه مه توسط محقق امنیتی تام رونینگ فاش شد که نشان داد تمام اعتبارنامه‌های ذخیره‌شده در مدیر رمز عبور داخلی Edge هنگام اجرا رمزگشایی شده و حتی در زمان عدم استفاده نیز در حافظه باقی می‌مانند. وی همچنین ابزاری اثبات مفهومی (proof-of-concept) منتشر کرد که به مهاجمان دارای دسترسی مدیر سیستم (Administrator) امکان می‌دهد رمزهای عبور را از فرآیندهای Edge سایر کاربران استخراج کنند.

گرت اوانز، مسئول امنیت Edge در مایکروسافت، اعلام کرد این تغییر به‌عنوان یک بهبود دفاع عمیق (defense-in-depth) در تمام نسخه‌های پشتیبانی‌شده Edge از جمله Stable، Beta، Dev، Canary و Extended Stable اعمال خواهد شد و رول‌اوت آن در اولویت قرار دارد. این اصلاح در حال حاضر در کانال Canary فعال است و در به‌روزرسانی بعدی برای تمام نسخه‌های Edge (بیلد ۱۴۸ و جدیدتر) گنجانده خواهد شد. رونینگ تأکید کرده بود که Edge تنها مرورگر مبتنی بر Chromium است که چنین رفتاری دارد و Chrome در مقایسه از معماری‌ای استفاده می‌کند که استخراج رمزهای عبور از حافظه پردازش را بسیار دشوارتر می‌سازد.