Se você salva senhas no Microsoft Edge, há um risco de segurança que você deve conhecer. De acordo com uma nova revelação, sempre que você abre o Edge, o navegador carrega imediatamente todas as senhas salvas na memória de forma legível — não apenas a senha do site em que você está fazendo login. Isso significa que as credenciais de todas as contas salvas no Edge podem ser expostas se um malware, uma conta de administrador comprometida ou outro invasor ganhar acesso ao seu dispositivo ou sessão de usuário.
A descoberta foi divulgada pelo pesquisador de segurança Tom Jøran Sønstebyseter Rønning(nova janela), que afirma que a resposta da Microsoft foi que o comportamento é “por design”.
A própria documentação da Microsoft diz que o Edge criptografa senhas salvas no disco usando AES (Advanced Encryption Standard) e reconhece que as senhas podem ser expostas se a sessão do usuário ou o dispositivo forem comprometidos. A nova revelação não contesta isso, mas levanta uma preocupação diferente: o Edge carrega todas as senhas salvas na memória de forma lida assim que o navegador é iniciado, tornando a raspagem de memória muito mais valiosa se um invasor obtiver acesso suficiente.
Isso acontece um ano depois que a Microsoft restringiu o gerenciamento de senhas no Edge ao descontinuar o armazenamento de senhas e o preenchimento automático no Microsoft Authenticator, empurrando os usuários que queriam continuar usando os recursos de senha da Microsoft para o seu próprio navegador.
Como o Microsoft Edge gerencia as senhas salvas
As senhas devem ser protegidas por criptografia quando armazenadas: a criptografia transforma uma senha lida (texto simples) em dados ilegíveis (texto cifrado). Para usar essa senha no preenchimento automático, um navegador eventualmente precisa descriptografá-la de volta para uma forma lida. A questão importante é: quantos dados de senha tornam-se lidos de uma só vez?
O pesquisador de segurança Tom Jøran Sønstebyseter Rønning diz que o Microsoft Edge carrega todas as senhas salvas na memória do navegador em texto simples assim que ele é iniciado, em vez de apenas descriptografar uma senha específica quando ela é necessária. Isso inclui todas as senhas salvas no gerenciador de senhas do Edge, até mesmo aquelas de sites que você não visita ou não usa o preenchimento automático durante a sessão de navegação atual.
Isso faz com que o aviso de reautenticação do Edge pareça enganoso: a interface solicita que você comprove sua identidade antes de revelar uma senha, embora o processo do navegador já tenha todas as senhas salvas disponíveis de forma lida.
O pesquisador testou esse comportamento em vários navegadores baseados no Chromium, incluindo Google Chrome, Brave, Vivaldi, Opera e Microsoft Edge. Apenas o Edge exibiu esse comportamento.
Basta deixar o Microsoft Edge aberto
O pesquisador de segurança Rob VandenBrink, escrevendo para o SANS Internet Storm Center(nova janela), reproduziu o problema ao deixar o Microsoft Edge aberto e analisar um despejo de memória da sessão do navegador em execução. Ele demonstrou como um usuário do Windows com a sessão iniciada pode despejar suas credenciais armazenadas do Edge sem direitos adicionais, o que também significa que um malware executado por esse usuário poderia, potencialmente, acessar essas credenciais também.
Uma única sessão comprometida pode expor todas as suas senhas
Se um invasor obtiver acesso suficiente ao dispositivo ou à sessão do usuário, ele poderá inspecionar a memória do navegador. Se apenas uma senha fosse descriptografada quando necessária, o invasor teria uma janela menor e menos dados para capturar. Mas se todas as senhas salvas já estiverem na memória sem a proteção da criptografia, a raspagem de memória torna-se muito mais valiosa.
O risco é especialmente sério em ambientes compartilhados, como servidores de terminal, áreas de trabalho remotas, infraestrutura de desktop virtual ou sistemas onde vários usuários iniciaram sessão ao mesmo tempo. Uma conta de administrador comprometida poderia extrair credenciais salvas de outros usuários conectados, incluindo sessões desconectadas onde o Edge ainda estivesse em execução.
Fonte: Proton AG.