Hoe Keeper Forcefield bescherming biedt tegen de wachtwoordkwetsbaarheid van Microsoft Edge

Nieuw onderzoek toont aan dat Microsoft Edge alle opgeslagen wachtwoorden in platte tekst in het geheugen laadt, en Keeper Forcefield is ontworpen om precies tegen dit soort kwetsbaarheden te beschermen.

Een beveiligingsonderzoeker heeft onlangs een werkend hulpprogramma gepubliceerd met de naam EdgeSavedPasswordsDumper waarmee Aanmeldingsgegevens die in Edge zijn opgeslagen, rechtstreeks uit het bovenliggende procesgeheugen van de browser worden gehaald. Er is geen exploit nodig, alleen voldoende systeemrechten. Microsoft zegt dat dit gedrag opzettelijk is en heeft niet toegezegd het te verhelpen. Dit betekent dat organisaties die afhankelijk zijn van de ingebouwde wachtwoordmanager van Edge kwetsbaar blijven en dat er geen patch in aantocht is.

Dit is wat de kwetsbaarheid eigenlijk is: waarom wachtwoordopslag via een browser dit soort risico’s met zich meebrengt en hoe Keeper daar anders mee omgaat.

Wat is de wachtwoordkwetsbaarheid van Microsoft Edge?

Wanneer u een wachtwoord opslaat in Edge, wordt die aanmeldingsgegevens niet alleen in het geheugen bewaard wanneer u ergens inlogt. Edge laadt al uw opgeslagen wachtwoorden in één keer in het hoofdprocesgeheugen – elke gebruikersnaam en elk wachtwoord staat daar in platte tekst wanneer de browser geopend is. Een aanvaller, of malware met lokale toegang tot de machine, kan dat geheugen dumpen en met de volledige set aanmeldingsgegevens weggaan.

De onderzoeker testte ook Chrome en Brave en zag niet hetzelfde gedrag, wat erop wijst dat dit specifiek is voor de manier waarop Edge integreert met Microsoft Password Manager en niet een fout is die alle op Chromium gebaseerde browsers delen.

Standaard Windows-tools zoals Taakbeheer zijn voldoende om het juiste proces te identificeren en de inhoud ervan te dumpen. De onderzoeker bouwde het Proof-of-Concept (PoC) ook in .NET Framework 3.5, een bewuste keuze om te voorkomen dat moderne beveiligingsscantools zoals AMSI geactiveerd zouden worden. Dit betekent dat de aanval kan worden uitgevoerd op een gecompromitteerde machine zonder de verdedigingsmechanismen te activeren waarop de meeste organisaties vertrouwen.

Het standpunt van Microsoft, dat dit gedrag bedoeld is, laat geen herstelopties over voor organisaties die wachten op een oplossing van de leverancier. De enige echte oplossing is om wachtwoorden helemaal niet meer in Edge op te slaan.

Waarom het opslaan van wachtwoorden in uw browser een beveiligingsrisico is

De kwetsbaarheid van Edge is een scherp voorbeeld van een risico dat gepaard gaat met browsergebaseerde wachtwoordopslag. Wanneer aanmeldingsgegevens in een browser worden opgeslagen, zijn ze gebonden aan het proces van die browser. De vraag is niet of ze in het geheugen staan; ze staan er altijd als de browser actief is. Het gaat erom hoe blootgesteld dat geheugen is en hoe moeilijk het is om er toegang toe te krijgen.

De nauwe koppeling van Edge met Microsoft Password Manager lijkt de browser aanzienlijk kwetsbaarder te maken dan andere op Chromium gebaseerde browsers. Maar het onderliggende probleem, aanmeldingsgegevens die in het browsergeheugen toegankelijk zijn voor iedereen met lokale toegang, is niet uniek voor Edge. Infostealers, een categorie malware die specifiek is ontwikkeld om aanmeldingsgegevens van browsers te verzamelen, richten zich al jaren op dit aanvalsoppervlak.

Browsergebaseerd wachtwoordbeheer is handig, en dat is precies waarom mensen het gebruiken. Maar gemak en beveiliging staan hier lijnrecht tegenover elkaar, en de Edge-kwetsbaarheid is een nuttige illustratie van hoe die afweging er in de praktijk uitziet.

Hoe Keeper Forcefield beschermt tegen diefstal van browserwachtwoorden

Dit is precies het type aanval waarvoor Keeper Forcefield gebouwd is om te blokkeren.

Op Windows kunnen applicaties die onder hetzelfde gebruikersaccount draaien standaard elkaars geheugen benaderen, wat precies is wat EdgeSavedPasswordsDumper exploiteert. Keeper Forcefield pakt dit op kernelniveau aan door een lichtgewicht driver te installeren die de geheugentoegang tot beschermde applicaties monitort en beperkt. Wanneer een niet-vertrouwd proces het geheugen van een beschermde app probeert te lezen, blokkeert het stuurprogramma dit. Vertrouwde systeemprocessen blijven normaal functioneren; alleen ongeautoriseerde toegang wordt geblokkeerd.

Waar dit concreet wordt, is tijdens de OpenProcess-oproep, zoals aangegeven in de schermafbeelding van de code hierboven. Dat is de stap waarbij de dumper zich aan het bovenliggende proces van Edge probeert te koppelen en het geheugen ervan probeert te lezen. Op een machine die Keeper Forcefield draait, mislukt die oproep. De kerneldriver onderschept het toegangsverzoek voordat er geheugen kan worden gelezen, waardoor de aanval wordt onderbroken in de stap waarvan deze afhankelijk is.

Keeper Forcefield beschermt zowel de eigen applicaties van Keeper als de belangrijkste browsers, waaronder Chrome, Firefox, Edge, Brave, Opera en Vivaldi, zodat de bescherming geldt ongeacht welke browser uw organisatie gebruikt. Het draait stil op de achtergrond zonder de systeem- of applicatieprestaties te beïnvloeden en kan direct worden geactiveerd vanuit de Keeper Desktop-app of stilletjes worden uitgerold over eindpunten via Intune, Group Policy of een RMM-tool.

Hoe beschermt u uw wachtwoorden tegen de kwetsbaarheid in Microsoft Edge

Als uw organisatie de ingebouwde wachtwoordmanager van Edge gebruikt, staan uw aanmeldingsgegevens op elke computer waarop Edge is geopend, in platte tekst in het geheugen. Op een gecompromitteerde of gedeelde computer loopt u een groot risico op een beveiligingsinbreuk.

De praktische oplossing is om wachtwoorden uit de browser te halen en ze in een speciale wachtwoordbeheerder zoals Keeper te zetten, die onafhankelijk van het browserproces werkt. Als aanmeldingsgegevens nooit in het browsergeheugen worden opgeslagen, valt er ook niets uit te halen. Als u daarbovenop Keeper Forcefield inschakelt, wordt bescherming op kernelniveau toegevoegd aan uw browsers, waardoor onbevoegde processen worden geblokkeerd bij het lezen van applicatiegeheugen, zelfs als er al malware op de machine draait.

Waar het op neerkomt

Organisaties kunnen niet wachten op een patch van een leverancier die niet komt. Als uw team de ingebouwde wachtwoordmanager van Edge gebruikt, is de blootstelling op dit moment actief. Verplaatst u de aanmeldingsgegevens naar een speciale wachtwoordbeheerder en zet u Keeper Forcefield in om ervoor te zorgen dat er zelfs als een computer wordt gehackt, niets in het geheugen van de browser is om te extraheren.

Om te zien hoe Keeper Forcefield de endpoint van uw organisatie beschermt, start vandaag nog een gratis proefperiode van Keeper.