https://pc.watch.impress.co.jp/docs/news/yajiuma/2106665.html
Edgeは全パスワードをメモリ上に平文保持。研究者の指摘にMicrosoftは「仕様」
- ノルウェイのセキュリティ研究者およびリスクハンターのTom Jøran Sønstebyseter Rønning氏は5月4日、自身のX(旧Twitter)上で、Microsoft Edgeが起動時に保存したサイトのパスワードといった認証情報を平文でメモリ上に展開しており、リスクになり得ることを報告した。
Rønning氏によれば、Edgeは起動時に保存されているすべての認証情報を復号化しており、平文としてプロセスメモリに常駐させているという。これは該当する認証情報を使用するサイトを一度も訪問せずとも発生する。管理者権限でログインしている場合、メモリのダンプを行なうことで認証情報を取得できる。
Edgeではサイトで認証情報の入力を必要とする際に、パスワードマネージャーにより統一のパスワードで再認証が要求される。しかし、プロセス自体はすでに平文として認証情報を保持している。同氏がテストしたほかのChromiumベースのブラウザでは、必要な認証情報のみ復号化されるため、Edgeだけの挙動だという。
同氏はこの問題をMicrosoftに報告したが、この挙動は「設計通りである」と回答されたという。その後、責任ある開示として共有するつもりがあるとMicrosoftに伝え、メモリに平文で保存されているパスワードを抽出するためのコンセプトレベルのソフト「EdgeSavedPasswordsDumper」をGitHubで公開した。
なお、Rønning氏自身も述べているが、これは「エクスプロイト」には該当しない。メモリのダンプを行なうためには管理者の権限が必要なうえに、いずれ復号化したパスワードをメモリに保持する必要があるからだ。
同氏が問題視しているのは、「起動直後に使われていないすべてのパスワードを復号化してメモリ上に保持している」点だ。管理者権限を持つユーザーがほかのログイン済みの2つのアカウントに保存された認証情報を閲覧できたため、1つのPCを共有で使っている場合など、管理者権限が侵害されるとリスクが高まる。そのためほかのブラウザと同様、必要時にのみ復号化する実装をすべきだとしている。
- 晋さん…
- 今までバレてなかったのが
逆に安全性の担保にならないか - ひらふみさんの方式だと問題あるわけ?
- ＞管理者権限を持つユーザーがほかのログイン済みの2つのアカウントに保存された認証情報を閲覧できたため、1つのPCを共有で使っている場合など、管理者権限が侵害されるとリスクが高まる。
かなり限定的だけど悪用されるリスクはあるのか
- マジかよペペロンチーノ保持してるのか
- わざわざChromeと別の実装にする意味は
- 蟻の一穴(*´∀｀*)
僕の臀穴(*´∀｀*) - 美味しいカルボナーラ食べたいな
- 何人かで共有する貸出PCで証券会社とかにログインしたら管理者はパスワード見れるってこと？
- ChromeでもEdgeでもブラウザにパスワード保存だけはやめとけと再三言われてるのに今時保存するやついるか？
- >>12
毎回入力してる方が危ないって見て保存してた
どっちが正しいのか詳しい人教えて - >>14
毎回入力の何が危ないのか説明してくれないと - >>14
サイトごとに使い回すのが危険→サイトごとにランダム生成してくれるブラウザパスワードがいい
っていうことでは
使い回ししなければどこにも保存しないほうが安全なのは間違いない
ただ事実4000ページ、これは皆さん記憶しておられないと思います - >>14
今のNISTはPWは長くしてパスワードマネージャーを積極利用しましょうって言ってる
あと複雑さより長さが重要って言ってて12桁の乱数より30文字の文章の方が強いとかも言ってるまぁ外部からメモリ上のPW見られるなら終わってるわけだしさ
- >>14
ブラウザ内蔵のじゃなくてパスワードマネージャーならOK。KeypassとかBitwardenとか - >>12
偽サイトに入った時は自動で入力しないからURL確認する習慣無い人は保存してもいいんじゃね
てか毎回パスワード打ってるのか？ - >>12
なりすましサイト問題があるから人間がいちいちパスワード入力するほうが危険
まぁ平文でずっとメモリ上に残ってるのは大問題だが - >>19
ブックマーク以外から飛ぶなよw - んじゃその仕様が危険って事か
何も矛盾はないな - 平文はちょっと…
- 俺のペンネはアルデンテってか！
- 仕様が危険
QBB - DAEMON Tools入れてた人はご愁傷さま
- メモリ自体が守られてるから無問題ってこと？
- ・管理者アカウントを普段使いするな
・管理者権限を責任者以外に与えるなとりあえず、これで済む話だろ
セキュリティ識者「Edgeはすべてのパスタワードをメモリ上に平文保持してる！危険」MS「仕様です」どっちが正紫院だよ
嫌儲
コメント