Come Keeper Forcefield protegge dalle vulnerabilità delle password di Microsoft Edge

La nuova ricerca mostra che Microsoft Edge carica tutte le password salvate in memoria sotto forma di testo semplice e Keeper Forcefield è progettato per proteggere proprio contro questo tipo di vulnerabilità.

Un ricercatore nel campo della sicurezza di recente ha pubblicato uno strumento chiamato EdgeSavedPasswordsDumper, che estrae le credenziali memorizzate in Edge direttamente dalla memoria dei processi principali del browser. Non è necessario nessun exploit, sono sufficienti i privilegi di sistema. Microsoft afferma che questo è il comportamento previsto e non si è impegnata a risolverlo, il che significa che le organizzazioni che si affidano al gestore di password integrato di Edge si ritrovano con una vulnerabilità integrata e senza alcuna patch in arrivo.

Ecco in cosa consiste la vulnerabilità, perché l’archiviazione delle password basata su browser crea questo tipo di rischio in primo luogo e come Keeper lo gestisce in modo differente .

Qual è la vulnerabilità delle password di Microsoft Edge?

Quando salvi una password in Edge, non si limita a conservare in memoria la credenziale quando accedi da qualche parte. Edge carica tutte le tue password salvate nella memoria del processo principale contemporaneamente, ogni nome utente e ogni password sono in testo semplice ogni volta che il browser viene aperto. Un attaccante, o un malware con accesso locale alla macchina può scaricare quella memoria e portarsi via l’intero set di credenziali.

Il ricercatore ha inoltre testato Chrome e Brave e non ha riscontrato lo stesso comportamento, il che suggerisce che si tratta di un problema specifico del modo in cui Edge si integra con Microsoft Password Manager piuttosto che di una falla condivisa dai browser basati su Chromium.

Strumenti standard di Windows come Task Manager sono sufficienti per individuare il processo corretto e scaricarne i contenuti. Il ricercatore ha inoltre sviluppato la Proof-of-Concept (PoC) in .NET Framework 3.5, una scelta deliberata per evitare l’attivazione di strumenti di scansione di sicurezza moderni come AMSI, il che significa che l’attacco può essere eseguito su una macchina compromessa senza attivare le difese su cui la maggior parte delle organizzazioni si affida.

La posizione di Microsoft, secondo cui questo comportamento è intenzionale, non lascia alcuna soluzione per apportare correzioni da parte delle organizzazioni in attesa di una correzione da parte del fornitore. L’unica vera risposta è quella di eliminare completamente la memorizzazione delle password in Edge.

Perché memorizzare le password nel browser rappresenta un rischio per la sicurezza

La vulnerabilità di Edge è un chiaro esempio di rischio che deriva dall’archiviazione delle password basata su browser. Quando le credenziali risiedono all’interno di un browser, sono legate al processo di quel browser. La questione non è se sono in memoria; lo sono ogni volta che il browser è in esecuzione. Il punto cruciale è quanto quella memoria sia esposta e quanto sia facile accedervi.

La stretta integrazione di Edge con Microsoft Password Manager sembra renderlo significativamente più vulnerabile rispetto ad altri browser basati su Chromium. Ma il problema di fondo, le credenziali accessibili nella memoria del browser a chiunque abbia accesso locale, non è esclusiva di Edge. Infostealers, una categoria di malware sviluppata specificamente per raccogliere le credenziali dai browser, da anni prendono di mira questa superficie d’attacco.

La gestione delle password basata su browser è comoda ed è proprio per questo motivo che la gente la usa. Ma in questo caso, comodità e sicurezza vanno in direzioni opposte e la vulnerabilità Edge è un esempio utile di come si manifesta per davvero questo compromesso nella pratica.

Come Keeper Forcefield protegge dal furto di password del browser

Questo è esattamente il tipo di attacco per cui Keeper Forcefield è stato progettato.

Su Windows, le applicazioni in esecuzione sotto lo stesso account utente per impostazione predefinita possono accedere alla memoria reciproca, che è esattamente quello che EdgeSavedPasswordsDumper sfrutta. Keeper Forcefield affronta questo problema a livello di kernel installando un driver leggero che monitora e limita l’accesso alla memoria ad applicazioni protette. Quando un processo non affidabile tenta di leggere la memoria di un’app protetta, il driver la blocca. I processi di sistema affidabili continuano a funzionare normalmente; solo gli accessi non autorizzati vengono bloccati.

Questo diventa concreto nella chiamata OpenProcess, evidenziata nello screenshot del codice qui sopra. Questo è il passaggio in cui il dumper tenta di collegarsi al processo principale di Edge e di leggerne la memoria. Su una macchina che esegue Keeper Forcefield, quella chiamata non riesce. Il driver del kernel intercetta la richiesta di accesso prima che qualsiasi memoria possa essere letta, interrompendo così l’attacco nel passaggio da cui dipende.

Keeper Forcefield protegge sia le applicazioni di Keeper sia i principali browser, tra cui Chrome, Firefox, Edge, Brave, Opera e Vivaldi, per cui la protezione vale indipendentemente dal browser utilizzato dalla tua organizzazione. Viene eseguito silenziosamente in background senza influire sulle prestazioni del sistema o dell’applicazione e può essere attivato direttamente dall’app Keeper Desktop oppure distribuito silenziosamente tra gli endpoint attraverso Intune, Group Policy o uno strumento RMM.

Come proteggere le password dalle vulnerabilità di Microsoft Edge

Se la tua organizzazione utilizza il gestore di password integrato di Edge, qualsiasi macchina con Edge aperto dispone delle tue credenziali in memoria sotto forma di testo semplice. Su un computer compromesso o condiviso, questo rappresenta il percorso diretto verso una violazione della sicurezza.

La soluzione pratica consiste nello spostare le password dal browser e trasferirle in un gestore di password dedicato come Keeper che funziona indipendentemente dal processo del browser. Se le credenziali non vengono memorizzate mai nella memoria del browser, non c’è nulla da estrarre. L’attivazione di Keeper Forcefield inoltre aggiunge una protezione a livello di kernel su tutti i browser, impedendo ai processi non autorizzati di leggere la memoria dell’applicazione anche se sul computer è già in esecuzione un malware.

Conclusione

Le organizzazioni non possono attendere una patch del fornitore che non arriva. Se il tuo team utilizza il gestore di password integrato di Edge, la vulnerabilità attualmente è presente. Sposta le credenziali in un gestore di password dedicato e implementa Keeper Forcefield per garantire che, anche se una macchina è compromessa, non vi sia nulla nella memoria del browser da estrarre.

Per scoprire come Keeper Forcefield protegge gli endpoint della tua organizzazione, avvia oggi stesso una prova gratuita di Keeper.