Recentemente, um investigador de segurança descobriu que o Microsoft Edge guarda as passwords dos utilizadores em texto limpo na memória RAM. Esta situação ocorre quando se usa o gestor de credenciais integrado no próprio browser. A Microsoft já reagiu à notícia e afirma que este comportamento é uma funcionalidade esperada e não um bug de software.
Tom Jøran Sønstebyseter Rønning, o investigador responsável pela descoberta, explicou numa publicação nas redes sociais como todo o processo funciona. De acordo com o especialista, quando um utilizador guarda as suas credenciais no Edge, o browser desencripta todas as informações logo no arranque e mantém os dados residentes na memória do processo. Isto acontece mesmo que a pessoa nunca chegue a visitar os sites correspondentes a essas credenciais.
Rønning refere ainda um detalhe curioso. O software obriga o utilizador a autenticar-se novamente antes de mostrar essas mesmas passwords na interface do gestor, mas, na verdade, o processo do browser já as tem todas em texto limpo nos bastidores. Para provar a sua teoria, o investigador publicou no GitHub um código chamado EdgeSavedPasswordsDumper, a demonstrar que qualquer credencial guardada através do gestor da Microsoft fica exposta na memória.
A resposta da Microsoft
Numa declaração partilhada com a ZDNET, a Microsoft reconheceu o comportamento, mas desvalorizou o perigo. Um porta-voz da empresa indica que o acesso aos dados do browser, tal como descrito no cenário reportado, exigiria que o dispositivo já estivesse comprometido por um atacante. A gigante tecnológica defende que as escolhas de design nesta área procuram equilibrar o desempenho, a usabilidade e a segurança. Aceder aos dados na memória ajuda os utilizadores a iniciar sessão de forma rápida, sendo, portanto, uma funcionalidade normal da aplicação.
No entanto, os testes de Rønning mostram que o Edge é o único browser baseado em Chromium a actuar desta forma. Em contraste, o Google Chrome apenas desencripta as credenciais quando é estritamente necessário, em vez de as manter sempre na memória. Este design torna muito mais difícil para um pirata informático extrair passwords guardadas a ler simplesmente a memória do dispositivo.
Opinião dos especialistas em segurança
A comunidade de cibersegurança não concorda com a justificação da Microsoft. Morey Haber, conselheiro principal de segurança na BeyondTrust, avança à ZDNET que guardar passwords em texto limpo na memória viola os princípios de privilégio mínimo, confiança zero e design seguro de aplicações. O especialista sublinha que, se uma password pode ser lida na memória por um humano ou por um processo malicioso, deixa de ser um segredo protegido.
Para os utilizadores que dependem do Edge para gerir as suas contas, a recomendação principal passa por mudar para um gestor de passwords dedicado de terceiros. Embora a ferramenta integrada pareça conveniente, os riscos associados começam a acumular-se. Além de outros problemas recentes, como uma actualização do browser da Microsoft que afectou a capacidade de colar texto no Teams, esta falha estrutural na gestão de credenciais mostra que a conveniência pode ter um custo elevado para a privacidade.
