Mange brugere regner med, at browserens indbyggede password-manager holder deres loginoplysninger forsvarligt låst bag kryptering og systembeskyttelse. Men et nyt sikkerhedsfund rejser spørgsmål om, hvor godt den beskyttelse egentlig holder, når adgangskoderne først har været i brug.
En test af Microsoft Edge viser, at gemte adgangskoder i visse situationer kan dukke op i læsbar form i computerens hukommelse. Og det opsigtsvækkende er ikke kun, at oplysningerne kan findes dér. Ifølge testen kan det også ske, efter at browseren er blevet lukket og startet igen.
Det skriver Computerworld med henvisning til sikkerhedsforskeren bag fundet.
I testen blev en adgangskode først oprettet og gemt i Edges indbyggede password-manager. Derefter blev browseren genstartet. Efter genstarten blev der lavet et såkaldt memory dump, altså et øjebliksbillede af indholdet i computerens hukommelse. Her stod hele adgangskoden i klartekst.
Det betyder i praksis, at følsomme oplysninger, som brugeren forventer er beskyttet, potentielt kan hentes frem igen, hvis nogen får adgang til systemets hukommelse. Det er ikke det samme som, at alle Edge-brugere automatisk er kompromitteret. Men fundet peger på en sikkerhedsrisiko, som især er relevant i situationer, hvor en computer allerede er udsat eller fysisk tilgængelig for andre.
Fundet vækker ekstra opmærksomhed, fordi Microsoft Edge er blandt de mest udbredte browsere på danske computere. Når en browser med så stor udbredelse håndterer adgangskoder på en måde, der kan efterlade spor i hukommelsen, kan det få betydning for mange brugere – både private og professionelle.
Ikke vurderet som en fejl
Ifølge oplysningerne er fundet blevet rapporteret til Microsoft. Men herfra lyder vurderingen, at der ikke er tale om en klassisk softwarefejl, som nødvendigvis skal rettes med en sikkerhedsopdatering.
Ifølge Computerworld har Microsoft vurderet, at der er tale om en bevidst designbeslutning.
Den vurdering gør sagen ekstra bemærkelsesværdig. I brugerfladen fremstår browserens adgangskoder som beskyttede: De er gemt krypteret og typisk låst bag brugerens login. Men problemet opstår tilsyneladende i den fase, hvor oplysningerne håndteres i hukommelsen.
Efter almindelige sikkerhedsprincipper bør adgangskoder kun være dekrypteret i det øjeblik, de faktisk bruges. Når den handling er afsluttet, bør de fjernes igen så hurtigt som muligt for at mindske risikoen for, at de bagefter kan findes i hukommelsen. Testen peger på, at det ikke altid sker i Edge.
Det er en vigtig detalje, fordi mange brugere netop vælger browserens indbyggede løsning af bekvemmelighed. Password-managers i browsere gør det nemt at gemme, udfylde og synkronisere adgangskoder på tværs af enheder. Men bekvemmelighed og sikkerhed er ikke altid det samme. Og denne sag viser, at der kan være forskel på, hvordan data ser ud på overfladen, og hvordan de faktisk håndteres i systemets indre.
Hvad betyder det for brugerne?
Fundet betyder ikke nødvendigvis, at brugere straks skal gå i panik eller tro, at alle deres konti står åbne for misbrug. For at udnytte oplysninger i hukommelsen kræver det typisk, at en angriber allerede har en form for adgang til maskinen eller kan hente data fra dens hukommelse. Men netop derfor er sagen stadig alvorlig: Når først en computer er kompromitteret, kan adgangskoder i klartekst gøre skaden langt større.
For virksomheder, offentlige arbejdspladser og andre miljøer med høje sikkerhedskrav kan den type fund få betydning for interne retningslinjer. Hvis adgangskoder bliver liggende længere end nødvendigt i hukommelsen, øger det risikoen ved både malware, fjernadgang og fysisk adgang til enheden.
For almindelige brugere er den mest nærliggende konsekvens, at man bør overveje, hvordan man opbevarer sine adgangskoder. Hvis sikkerhed vægter højt, kan det være relevant at se på alternative løsninger til browserens egen password-manager.
Computerworld beskriver fundet som et eksempel på, at adgangskoder kan være mindre beskyttede, end mange forestiller sig. Det ændrer ikke ved, at kryptering og loginbeskyttelse stadig spiller en vigtig rolle. Men det understreger, at sikkerhed ikke kun handler om, hvordan data lagres, men også om, hvordan de behandles under brug.
Kernen i sagen er, at en adgangskode godt kan se sikkert gemt ud. Men hvis den efterlades i hukommelsen i læsbar form, opstår der et hul mellem den sikkerhed, brugeren forventer, og den sikkerhed, systemet faktisk leverer.