Comment Keeper Forcefield protège contre la vulnérabilité des mots de passe de Microsoft Edge

De nouvelles études révèlent que Microsoft Edge charge tous les mots de passe enregistrés en mémoire en clair. Keeper Forcefield est conçu pour protéger précisément contre ce type de vulnérabilité.

Un chercheur en sécurité a récemment publié un outil fonctionnel appelé EdgeSavedPasswordsDumper qui extrait les identifiants stockés dans Edge directement depuis la mémoire du processus parent du navigateur. Aucune exploitation de faille n’est nécessaire ; il suffit de disposer de privilèges système suffisants. Microsoft affirme que ce comportement est intentionnel et ne s’est pas engagé à le corriger, ce qui signifie que les entreprises qui utilisent le gestionnaire de mots de passe intégré d’Edge restent vulnérables et qu’aucun correctif n’est prévu.

Voici en quoi consiste exactement cette vulnérabilité, pourquoi le stockage des mots de passe dans les navigateurs crée ce type de risque et comment l’approche de Keeper est différente.

Qu’est-ce que la vulnérabilité des mots de passe de Microsoft Edge ?

Lorsque vous enregistrez un mot de passe dans Edge, le navigateur ne se contente pas de conserver ces identifiants en mémoire lorsque vous vous connectez à un site. Edge charge d’un seul coup tous vos mots de passe enregistrés dans la mémoire de son processus parent ; chaque nom d’utilisateur et mot de passe se retrouve donc en clair dès que le navigateur est ouvert. Un pirate informatique, ou un logiciel malveillant ayant un accès local à la machine, peut vider cette mémoire et repartir avec l’ensemble complet des identifiants.

Le chercheur a également testé Chrome et Brave et n’a pas observé le même comportement, ce qui suggère qu’il s’agit d’un problème spécifique à l’intégration d’Edge avec Microsoft Password Manager, plutôt que d’une faille commune à tous les navigateurs basés sur Chromium.

Les outils Windows standard comme le gestionnaire des tâches suffisent pour identifier le bon processus et vider son contenu. Le chercheur a également développé la preuve de concept (PoC) dans .NET Framework 3.5, un choix délibéré pour éviter de déclencher des outils d’analyse de sécurité modernes comme AMSI. L’attaque peut donc s’exécuter sur une machine compromise sans déclencher les défenses sur lesquelles s’appuient la plupart des entreprises.

La position de Microsoft, selon laquelle ce comportement est intentionnel, ne laisse aucune voie de remédiation pour les organisations qui attendent une correction de la part du fournisseur. La seule véritable solution est de supprimer complètement le stockage des mots de passe dans Edge.

Pourquoi le stockage des mots de passe dans votre navigateur constitue un risque pour la sécurité

La vulnérabilité d’Edge est un bon exemple du risque lié au stockage des mots de passe dans un navigateur. Lorsque les identifiants résident dans un navigateur, ils sont liés au processus de ce navigateur. La question n’est pas de savoir s’ils sont en mémoire ; ils y sont dès lors que le navigateur est en cours d’exécution. Il s’agit plutôt de savoir dans quelle mesure cette mémoire est exposée et à quel point il est difficile d’y accéder.

L’intégration étroite d’Edge avec Microsoft Password Manager semble le rendre nettement plus vulnérable que les autres navigateurs basés sur Chromium. Cependant, le problème sous-jacent, à savoir l’accès aux identifiants stockés dans la mémoire du navigateur par toute personne disposant d’un accès local, n’est pas propre à Edge. Les voleurs d’informations, une catégorie de logiciels malveillants conçus spécifiquement pour dérober les identifiants des navigateurs, exploitent cette surface d’attaque depuis des années.

La gestion des mots de passe basée sur un navigateur est pratique, et c’est exactement pourquoi les personnes l’utilisent. Or, commodité et sécurité ne font pas bon ménage dans ce domaine, et la vulnérabilité d’Edge illustre parfaitement ce qu’entraîne ce compromis dans la pratique.

Comment Keeper Forcefield protège contre le vol de mots de passe dans les navigateurs

C’est exactement le type d’attaque que Keeper Forcefield est conçu pour bloquer.

Sous Windows, les applications exécutées sous le même compte utilisateur peuvent, par défaut, accéder à la mémoire les unes des autres, ce qu’exploite précisément EdgeSavedPasswordsDumper. Keeper Forcefield corrige ce problème au niveau du noyau en installant un pilote léger qui surveille et limite l’accès à la mémoire des applications protégées. Lorsqu’un processus non fiable tente de lire la mémoire d’une application protégée, le pilote le bloque. Les processus système sécurisés continuent de fonctionner normalement ; seul l’accès non autorisé est bloqué.

Cela se concrétise au niveau de l’appel OpenProcess mis en évidence dans la capture d’écran du code ci-dessus. C’est à cette étape que le programme de vidage mémoire tente de se joindre au processus parent d’Edge et de lire sa mémoire. Sur une machine qui exécute Keeper Forcefield, cet appel échoue. Le pilote du noyau intercepte la requête d’accès avant que la moindre lecture de mémoire ne puisse avoir lieu, interrompant ainsi l’attaque à l’étape cruciale.

Keeper Forcefield protège à la fois les propres applications de Keeper et les principaux navigateurs, y compris Chrome, Firefox, Edge, Brave, Opera et Vivaldi, de sorte que la protection s’applique quel que soit le navigateur utilisé par votre entreprise. Il s’exécute silencieusement en arrière-plan sans affecter les performances du système ou de l’application, et peut être activé directement depuis l’application de bureau Keeper Desktop ou déployé silencieusement sur les terminaux via Intune, une politique de groupe ou un outil RMM.

Comment protéger vos mots de passe contre la vulnérabilité de Microsoft Edge

Si votre entreprise utilise le gestionnaire de mots de passe intégré à Edge, vos identifiants sont stockés en clair dans la mémoire de tout ordinateur sur lequel Edge est ouvert. Sur une machine compromise ou partagée, c’est un chemin direct vers une violation.

La solution pratique consiste à déplacer les mots de passe hors du navigateur et à les stocker dans un gestionnaire de mots de passe dédié comme Keeper, qui fonctionne indépendamment du processus du navigateur. Si les identifiants ne sont jamais stockés dans la mémoire du navigateur, il est impossible de les récupérer. De plus, l’activation de Keeper Forcefield assure une protection au niveau du noyau pour tous vos navigateurs, empêchant ainsi les processus non autorisés d’accéder à la mémoire des applications, même si un logiciel malveillant est déjà en cours d’exécution sur la machine.

Ce qu’il faut retenir

Les entreprises ne peuvent pas se permettre d’attendre un correctif fournisseur qui ne sera jamais déployé. Si votre équipe utilise le gestionnaire de mots de passe intégré d’Edge, la vulnérabilité est déjà présente. Transférez vos identifiants vers un gestionnaire de mots de passe dédié et déployez Keeper Forcefield afin de garantir que, même en cas de compromission d’une machine, aucune donnée ne sera extraite de la mémoire du navigateur.

Pour découvrir comment Keeper Forcefield protège les terminaux de votre entreprise, commencez dès aujourd’hui un essai gratuit de Keeper.