So schützt Keeper Forcefield vor Passwortschwachstellen von Microsoft Edge

Neue Studien zeigen, dass Microsoft Edge alle gespeicherten Passwörter im Klartext in den Speicher lädt, und Keeper Forcefield ist genau darauf ausgelegt, gegen diese Art von Schwachstelle zu schützen.

Ein Sicherheitsforscher hat vor kurzem ein funktionierendes Tool namens EdgeSavedPasswordsDumper veröffentlicht, das in Edge gespeicherte Zugangsdaten direkt aus dem Speicher des übergeordneten Prozesses des Browsers extrahiert. Es ist kein Exploit erforderlich, lediglich ausreichende Systemberechtigungen. Microsoft erklärt, das Verhalten sei so beabsichtigt und hat sich nicht dazu verpflichtet, es zu beheben. Das bedeutet, dass Unternehmen, die auf den in Edge integrierten Passwortmanager angewiesen sind, einem offenen Sicherheitsrisiko ausgesetzt sind und keinen Patch erhalten werden.

Hier erfahren Sie, worin die Schwachstelle genau besteht, warum die browserbasierte Passwortspeicherung überhaupt dieses Risiko birgt und wie Keeper damit anders umgeht.

Was ist die Passwortschwachstelle in Microsoft Edge?

Wenn Sie ein Passwort in Edge speichern, behält es diese Zugangsdaten nicht nur im Speicher, wenn Sie sich irgendwo anmelden. Edge lädt all Ihre gespeicherten Passwörter gleichzeitig in den Speicher seines übergeordneten Prozesses – jeder Benutzername und jedes Passwort liegen in Klartext vor, sobald der Browser geöffnet ist. Ein Angreifer oder eine Malware mit lokalem Zugriff auf das Gerät kann diesen Speicher auslesen und mit dem vollständigen Satz an Zugangsdaten davonkommen.

Der Forscher testete auch Chrome und Brave und konnte das gleiche Verhalten nicht feststellen, was darauf hindeutet, dass es sich um ein spezifisches Problem der Integration von Edge mit dem Microsoft Password Manager handelt, und nicht um einen Fehler, der bei allen Chromium-basierten Browsern auftritt.

Standard-Windows-Tools, wie Task Manager, genügen, um den richtigen Prozess zu identifizieren und dessen Inhalt auszugeben. Der Forscher baute den Proof-of-Concept (PoC) auch im .NET Framework 3.5 auf, eine bewusste Entscheidung, um zu vermeiden, dass moderne Sicherheitsscanning-Tools wie AMSI ausgelöst werden. Das bedeutet, dass der Angriff auf einem kompromittierten Rechner ausgeführt werden kann, ohne die Abwehrmechanismen auszulösen, auf die sich die meisten Unternehmen verlassen.

Microsofts Standpunkt, dass dieses Verhalten absichtlich herbeigeführt wurde, bietet keine Abhilfe für Unternehmen, die auf eine Lösung des Anbieters warten. Die einzige wirkliche Lösung besteht darin, die Speicherung von Passwörtern in Edge vollständig zu unterbinden.

Warum das Speichern von Passwörtern im Browser ein Sicherheitsrisiko darstellt

Die Schwachstelle von Edge ist ein klares Beispiel für ein Risiko, das mit der browserbasierten Passwortspeicherung einhergeht. Wenn Zugangsdaten in einem Browser gespeichert sind, sind sie an den Prozess dieses Browsers gebunden. Die Frage ist nicht, ob sie im Speicher sind; sie sind es immer, wenn der Browser läuft. Es geht darum, wie exponiert dieser Speicher ist und wie schwer er zugänglich ist.

Die enge Verknüpfung von Edge mit dem Microsoft Password Manager macht ihn offenbar deutlich anfälliger als andere Chromium-basierte Browser. Aber das zugrundeliegende Problem – Zugangsdaten, die im Browser-Speicher für jeden mit lokalem Zugriff zugänglich sind – ist nicht nur bei Edge vorhanden. Infostealer, eine Kategorie von Malware, die speziell dazu entwickelt wurde, Zugangsdaten aus Browsern zu sammeln, zielen seit Jahren auf diese Angriffsoberfläche ab.

Browserbasierte Passwortverwaltung ist praktisch, und genau deshalb nutzen Menschen sie. Aber Bequemlichkeit und Sicherheit gehen hier in entgegengesetzte Richtungen, und die Edge-Schwachstelle ist ein nützliches Beispiel dafür, wie dieser Kompromiss in der Praxis aussieht.

Wie Keeper Forcefield vor Browser-Passwortdiebstahl schützt

Genau diese Art von Angriff ist es, die Keeper Forcefield abwehren soll.

Unter Windows können Anwendungen, die unter demselben Benutzerkonto ausgeführt werden, standardmäßig auf den Speicher der jeweils anderen Anwendung zugreifen. Genau das nutzt EdgeSavedPasswordsDumper aus. Keeper Forcefield adressiert dies auf Kernel-Ebene durch die Installation eines leichtgewichtigen Treibers, der den Speicherzugriff auf geschützte Anwendungen überwacht und einschränkt. Wenn ein nicht vertrauenswürdiger Prozess versucht, den Speicher einer geschützten Anwendung zu lesen, blockiert der Treiber ihn. Vertrauenswürdige Systemprozesse funktionieren weiterhin normal; nur unbefugte Zugriffe werden gestoppt.

Konkret wird dies beim OpenProcess-Aufruf, der im obigen Code-Screenshot hervorgehoben ist. Das ist der Schritt, bei dem der Dumper versucht, sich an den übergeordneten Prozess von Edge anzuhängen und dessen Speicher zu lesen. Auf einem Rechner, auf dem Keeper Forcefield läuft, schlägt dieser Aufruf fehl. Der Kernel-Treiber fängt die Zugriffsanfrage ab, bevor der Speicher gelesen werden kann, und unterbricht den Angriff in dem Schritt, von dem er abhängt.

Keeper Forcefield schützt sowohl die eigenen Anwendungen von Keeper als auch die wichtigsten Browser, darunter Chrome, Firefox, Edge, Brave, Opera und Vivaldi, sodass der Schutz unabhängig davon gilt, welchen Browser Ihr Unternehmen verwendet. Es läuft im Hintergrund, ohne die System- oder Anwendungsleistung zu beeinträchtigen, und kann direkt über die Keeper Desktop-App aktiviert oder über Intune, Gruppenrichtlinien oder ein RMM-Tool über Endpunkte leise bereitgestellt werden.

So schützen Sie Ihre Passwörter vor der Microsoft Edge-Schwachstelle

Wenn Ihr Unternehmen den in Edge integrierten Passwortmanager verwendet, befinden sich Ihre Zugangsdaten auf jedem Rechner, auf dem Edge geöffnet ist, im Klartextspeicher. Auf einem kompromittierten oder gemeinsam genutzten Computer ist dies ein direkter Weg zu einer Sicherheitsverletzung.

Die praktische Lösung besteht darin, Passwörter aus dem Browser in einen dedizierten Passwortmanager wie Keeper zu verschieben, der unabhängig vom Browserprozess funktioniert. Wenn Zugangsdaten nie im Browser-Speicher abgelegt werden, gibt es nichts daraus zu ziehen. Wenn Sie Keeper Forcefield zusätzlich aktivieren, wird ein Schutz auf Kernel-Ebene für alle Ihre Browser hinzugefügt, der nicht autorisierte Prozesse daran hindert, den Anwendungsspeicher zu lesen, selbst wenn bereits Malware auf dem Rechner läuft.

Das Fazit

Unternehmen können nicht auf einen Patch des Anbieters warten, der ohnehin nicht kommt. Falls Ihr Team den in Edge integrierten Passwortmanager nutzt, besteht diese Sicherheitslücke derzeit. Verschieben Sie Zugangsdaten in einen dedizierten Passwortmanager und setzen Sie Keeper Forcefield ein, um sicherzustellen, dass selbst bei einer kompromittierten Maschine nichts aus dem Browser-Speicher extrahiert werden kann.

Um zu sehen, wie Keeper Forcefield die Endpunkte Ihres Unternehmens schützt, starten Sie noch heute eine kostenlose Testversion von Keeper.