1. 密码存储问题引发安全担忧你是否使用 Microsoft Edge 来保存和管理网站密码如果是一项新发现让人们对所存储密码的安全性产生了疑问。一位安全研究人员发现当使用 Edge 浏览器管理密码时它会将明文密码存储在内存中。研究人员 Tom Jøran Sønstebyseter Rønning 在社交媒体上解释了这一过程并发布了展示该过程的视频。他还提到“一款特洛伊木马利用 Microsoft Phone Link 应用程序窃取你的密码。”Rønning 表示“当你在 Edge 中保存密码时浏览器会在启动时解密每个凭证并将它们驻留在进程内存中。即便你从未访问过使用这些凭证的网站这种情况也会发生。与此同时Edge 要求你在密码管理器用户界面UI中查看这些密码之前重新进行身份验证但浏览器进程已经以明文形式保存了所有密码。”2. 微软称此为预期功能Rønning 在 GitHub 上发布了他为检测这种行为而编写的代码名为 EdgeSavedPasswordsDumper。该代码表明使用 Edge 中的 Microsoft 密码管理器存储的任何凭证都会以明文形式保存在 Edge 进程内存中。微软在与 ZDNET 分享的一份声明中承认了这种行为但表示这是一项预期功能只有在设备已经被入侵的情况下才会构成风险。微软发言人在声明中称“在报告的场景中访问浏览器数据需要设备已经被入侵。在这方面的设计选择需要在性能、可用性和安全性之间进行平衡我们会持续根据不断演变的威胁对其进行评估。浏览器访问内存中的密码数据是为了帮助用户快速安全地登录这是该应用程序的预期功能。我们建议用户安装最新的安全更新和防病毒软件以防范安全威胁。”微软声称设备需要先被入侵这一说法似乎是合理的至少从 Rønning 的测试来看是这样。正如视频所示这一过程的前提是攻击者已经入侵了具有管理员权限的用户账户这样他们就可以访问所有已登录用户进程的内存并查看明文密码。Rønning 表示Edge 是他测试过的唯一以这种方式运行的基于 Chromium 的浏览器。相比之下Google Chrome 仅在需要时才解密凭证而不是一直将所有密码保存在内存中。Rønning 补充说Chrome 的设计使得攻击者很难通过简单读取设备内存来提取保存的密码。到目前为止这种弱点似乎仅存在于 Edge 中使用的 Microsoft 密码管理器。Rønning 说“尽管 Edge 基于 Chromium但我测试过的其他基于 Chromium 的浏览器都没有使用 Microsoft 密码管理器来存储密码和自动填充数据。我怀疑这与 Chromium 无关。”还有人指出“可以在不丢失任何登录信息的情况下切换密码管理器我就是证明。”针对 Rønning 的帖子另一个人表示凭证可以以加密格式存储在内存中仅在登录网站需要时进行解密之后立即清除。安全供应商 BeyondTrust 的首席安全顾问 Morey Haber 告诉 ZDNET“从防御角度来看以明文形式将密码存储在内存中违反了最小权限、零信任和安全应用程序设计的原则这绝对不是一个好主意。如果人类或恶意进程可以在内存中读取密码那么它就不再是受保护的机密实际上已经因在不安全的介质中以明文形式存储而被泄露。”3. 使用浏览器内置密码管理器的隐患除非微软决定改变其密码管理器的工作方式如果你将 Edge 作为默认浏览器来管理密码该怎么办呢建议是切换到专门的第三方密码管理器。的确使用浏览器的内置密码管理器似乎既快捷又方便但除了这个最新问题之外还有其他隐患。如果有人通过你的密码、个人识别码PIN或密码锁访问你的电脑或移动设备他们就可以打开你的浏览器用同样的方法查看你的密码。在一台 Windows 电脑上仅使用 PIN 就可以访问 Edge 中的明文密码。而一个优秀的第三方密码管理器需要更强大的身份验证才能查看你的密码。内置密码管理器仅适用于特定的浏览器。你可以将 Edge 设为默认浏览器但有时可能会使用 Chrome 或 Firefox在这种情况下你存储的密码就无法使用。个人和工作中都会使用 Firefox、Chrome 和 Edge所以密码需要在这三款浏览器中都能访问。希望微软能将此视为一个安全漏洞并采用 Chrome 和其他浏览器的方法仅在需要时解密密码。在此之前建议不要使用 Edge 作为密码管理器。4. 其他安全相关资讯- 你的安卓手机最强大的安全功能默认关闭且隐藏尽快开启。- 随着勒索软件的消退一种新的、更危险的数字寄生虫正在兴起。- 你电脑的关键安全证书可能即将过期如何检查。- 如何将你的 iPhone 锁定到极致让连 FBI 都无法进入。
`)
