ハクソク

世界を動かす技術を、日本語で。

Microsoft Edgeは、未使用時でもすべてのパスワードをメモリに平文で保存します

4時間前原文(twitter.com)

Hackerたちの意見

確かに、「メモリに読み込む」と「保存する」は同じじゃないよね。
└
ここでの見出しは「メモリに保存」と書いてあるけど、ほとんど同じに聞こえるよ。メモリに「読み込む」と「保存する」の違いについて詳しく教えてもらえる？
なんか「この密閉されたハッチの向こう側にいるって感じだね」って思う。もし任意のプロセスメモリを読めるなら、問題のユーザーになりすましてパスワードをダンプすることもできるだろうし。 > 「攻撃者がターミナルサーバーで管理者アクセスを得ると、ログインしている全ユーザーのプロセスのメモリにアクセスできる。攻撃者が管理者アクセスを持っていれば、すべてのChromeプロセスにデバッガをアタッチして、パスワードを復号化させることもできる。この違いが本当に影響するのはコールドブート攻撃だけだけど、それでも攻撃者の仕事が少し楽になるのか、そうでない攻撃を可能にするのかはまだ不明だ。」
└
セキュリティは白黒じゃないよね。モニターにログイン情報を書いた付箋を貼っておくのは、鍵のかかってない引き出しに入れておくよりも絶対に危ないし。
└
これがまさにその通りだよ。基本的に、今打ってるこのフォームみたいに、ほとんどのフォームはユーザースペースのメモリに暗号化されずに保存されてる。なのに、弁護士や医者、CIAのオペレーターたちが、すごくセンシティブな情報を入力するためにフォームを使ってるんだ。もし悪意のあるプロセスが何らかの形でリング0アクセスを得たとしても、フォームを暗号化するのは馬鹿げてるし、無駄だし、複雑すぎる。そんな場合、キーロガーの方が役に立つだろうし。暗号化しても、キーもメモリのどこかにある可能性が高いし（ああ、暗号化されてないといけないんだよね）。タダで手に入るものなんてないよ。これは、エンゲージメントを狙った愚かなツイッターのスレッドだね。[1] パスワードはディスクや周辺機器にも保存される可能性があるけど、やる気のあるハッカーには完全に読み取られるだろうね。
└
任意のプロセスのメモリを読むのは、標準ユーザーでもできるよ。管理者権限はいらない。どんなWin32プログラムでもできる。ただし、管理者レベルのプロセスのメモリにはアクセスできないけどね。
└
実際に使っているパスワードを見られるのを防ぐのはほとんど無理だよ。どこかのタイミングで平文で存在しなきゃいけないからね。でも、パスワードが使われていない時に、パスワードデータベース全体をさらけ出す理由はないよ。
└
彼らは不透明性を求めていて、それをセキュリティだと思ってる。パスワードを取得するために必要なものはメモリに存在しなきゃいけないけど、実際にパスワードを直接見ることはできないようにしたいんだ。
└
もうCloudbleedのこと忘れちゃったの？
└
最近では、通常のユーザーが任意のメモリを読み取れるようなブラウザの脆弱性もあったけど、場所を完全に制御することなく、ゆっくりとしたりしてたよね。使った後はできるだけ早く認証情報を消すのが賢明な予防策だと思う。たとえそれが単なる防壁だとしても。
└
それは本当だけど、やっぱりスタイルとしては良くないよね。ユーザーがセッション中に使ってもいない復号化されたパスワードをメモリに保持する必要なんてないと思う。
このツールは同じマシンで動いているEdgeインスタンスにアクセスするの？だったら、保存されたパスワードをそのままエクスポートできるんじゃない？
└
パスワードマネージャーは、パスワードをメモリで「安全」に保つためにかなり手間をかけることが多い。でも、そういうツールの攻撃モデルがよくわからないことが多い。例えば、KeePassみたいなツールはブラウザプラグインを登録するのにかなり手間がかかる。でも、普通のユーザー権限を持っている人なら誰でもそのキーをブラウザから抽出して、好きなように使えるんだよね。それに、ウェブアプリの「このブラウザを信頼して」っていうのも、クッキーストアを簡単に読めるなら変だと思う。
https://xcancel.com/L1v1ng0ffTh3L4N/status/20513083298807197...
この.exeのソースコードへのリンク持ってる人いる？どうやって抽出してるのか見てみたいな。
今の時代、マイクロソフトはもっと賢くなるべきだと思う。でも、ERPや社内システムを持つフォーチュン500企業で、これやそれ以上のことが何度も起こってるのを見たことがある。Windowsが他のOSと同じように動くなら、これはローカルな脆弱性だと思う。
うん、Linuxのpamにも同じことができると思うよ… gdbをopensshやgettyのログインプロセスにアタッチすればいいだけ。
それはちょっと馬鹿げてるね。OSがメモリ不足のとき、パスワードがスワップファイルに平文で書き込まれる可能性があるから。
└
それを言うなら、あのファイルにアクセスするのがメモリにアクセスするより簡単だったみたいに聞こえるけど。
参考までに、これがGoogleがChromeでパスワードをメモリ内で暗号化して保存し、他のプロセスがChromeを偽装して平文のパスワードにアクセスできないようにするために昇格されたサービスを使っていると言っている方法だよ: https://security.googleblog.com/2024/07/improving-security-o...
Edgeはユーザーデータ保護にフォーカスしてない会社が作ってるから、驚くことじゃないよね。少なくともBraveやFirefoxは使えるし、実際の競合相手だし、データじゃなくてユーザーのセキュリティに基づいたビジネスモデルを持ってるからね。