Edge浏览器被曝在内存中明文加载全部暗码 微软称“设计如斯”

根据他的说法，Microsoft Edge 在浏览器启动时就会将用户已保存的账号暗码，以明文情势加载到体系内存中，即便这些凭证当下并未被应用。 更耐人寻味的是，即使在所有暗码都以未受保护的情势驻留在内存的情况下，浏览器仍然会持续请求用户从新登录。

为更直不雅地解释这一行动，研究人员在 GitHub 上宣布了名为 “EdgeSavedPasswordsDumper” 的对象。 项目被定位为一款教导用处的实用法度榜样，旨在赞助安然专业人士和通俗用户验证浏览器情况中保存凭证的治理方法。 该对象经由过程拜访浏览器的过程内存，来提取个中可能以可读情势存在的用户名和暗码。

研究显示，Microsoft Edge 的父过程会持续持有这些已经解密的凭证，一旦进击者获得足够的体系权限，这一过程就可能成为暗码提取的目标。 对于运行共享帐号或多用户情况的组织而言，这种风险尤为凸起，因为一旦拥有治理员权限的帐号遭到攻下，进击者就有机会拜访多个活动会话中的数据。

须要指出的是，这种技巧本身并不构成长途进击手段，而是在进击者已经取得高权限拜访的场景下，成为进一步横向移动或窃取敏感信息的利器。 在这种情况下，经由过程常见的治理对象进行内存转储等操作，就有可能泄漏存储在个中的登录信息。

更令人困惑的是，当研究人员测验测验向微软传递这一问题时，微软将其归类为“设计如斯”（by design）。 除了这一说法之外，微软似乎并未供给更多回应或解释。

研究人员的测试还发明，此问题似乎是 Edge 特有的行动，在其他基于 Chromium 的浏览器（例如 Google Chrome 和 Brave）中，并未不雅察到同样的模式。 后者平日只在须要时解密凭证，而不会将其长时光以明文情势保存在内存中。 不过，这并不料味着 Chrome 完全没有隐忧，例如斯前就有申报指出，Chrome 在浏览器指纹保护这一重要隐私特点上落后于 Edge、Firefox 和 Brave 等产品。