Finalement, Microsoft fait marche arrière sur la gestion des mots de passe dans Edge. L'éditeur de Redmond travaille sur le déploiement d'une mise à jour prioritaire pour corriger la façon dont le navigateur traite les identifiants en mémoire.
Début mai, nous rapportions que Edge déchiffre l'intégralité des mots de passe enregistrés dès l'ouverture du navigateur. Ces derniers deviennent alors lisibles en clair dans la mémoire vive (RAM) de l'ordinateur. Microsoft expliquait qu'il s'agissait d'un "choix de conception délibéré" sans y voir de risque particulier. Sous la pression, la société a tout de même revu sa position.
Microsoft corrige, sans tout à fait admettre son erreur
Contrairement à un gestionnaire de mots de passe classique, Edge ne déchiffre pas les identifiants uniquement au moment où l'utilisateur en a besoin. Le navigateur les charge tous en mémoire dès son démarrage, en clair. N'importe quel attaquant disposant d'un accès administrateur à la machine peut alors les lire directement dans la RAM, sans jamais passer par l'interface du navigateur. Cela permet de contourner la demande d'authentification qu'Edge affiche au sein de son interface.
Microsoft a annoncé une mise à jour prioritaire, laquelle sera déployée sur toutes les versions du navigateur (Stable, Beta, Dev, Canary et Extended Stable, Entreprise) à partir de la version 148. Le correctif est déjà actif dans Edge Canary. Concrètement, le navigateur cessera de charger les mots de passe en mémoire au démarrage. La modification ne requiert aucune action de la part des utilisateurs.
La société maintient néanmoins sa position sur le fond. Selon Gareth Evans, responsable de la sécurité d'Edge, ce comportement "correspond au modèle de menace attendu". Selon lui, un attaquant devrait déjà disposer d'un accès administrateur sur l'appareil pour l'exploiter, ce qui signifierait que la machine est de toute façon déjà compromise. La correction est justifiée non pas comme un aveu de vulnérabilité, mais comme une démarche de "défense en profondeur". Autrement dit, il s'agirait de réduire l'exposition des données sensibles même dans des scénarios qui ne sont pas formellement considérés comme des failles.
Microsoft a également annoncé une révision des processus internes, afin qu'ils soient plus rapides et plus clairs.
