Microsoft Edge Parola Güvenliği Yenileniyor: Düz Metin Bellek Sistemi Kaldırılıyor
Teknoloji Haberleri - Microsoft Edge parola güvenliği güncellemesi, son haftaların en çok konuşulan tarayıcı tartışmasına noktayı koyuyor. Microsoft, Edge tarayıcısının başlangıçta tüm kayıtlı parolaları RAM’e şifresiz biçimde yüklemesine yol açan tartışmalı mekanizmayı devre dışı bırakma kararı aldı. Değişiklik Edge 148 sürümüyle birlikte tüm kullanıcılara ulaşacak.
Olay Nasıl Ortaya Çıktı?
Norveçli siber güvenlik araştırmacısı Tom Jøran Sønstebyseter Rønning, nisan ayı sonunda Palo Alto Networks Norway’nin düzenlediği BIG Bite of Tech konferansında bulgularını ilk kez paylaştı. Rønning, Edge tarayıcısı açılır açılmaz tüm kayıtlı kimlik bilgilerinin düz metin halinde süreç belleğine yüklendiğini ve kullanıcı ilgili siteyi ziyaret etmese bile bu verilerin oturum boyunca bellekte kaldığını gösterdi.
Araştırmacı, iddiasını kanıtlamak için GitHub üzerinde EdgeSavedPasswordsDumper adını verdiği bir kavram kanıtlama aracı yayınladı. Windows Görev Yöneticisi üzerinden alınan bellek dökümü dosyası incelendiğinde, tüm kullanıcı adı ve parolaların okunabilir metin olarak görülebildiği anlaşıldı. SANS Internet Storm Center da aynı yöntemi dakikalar içinde tekrarlayarak bulguyu doğruladı.
“Tasarım Gereği” Savunması Tepki Çekti
Microsoft’tan gelen ilk açıklama tartışmayı daha da alevlendirdi. Şirket, söz konusu davranışın bir güvenlik açığı değil, bilinçli bir tasarım tercihi olduğunu savundu. Yapılan yazılı açıklamada, “Bildirilen senaryodaki tarayıcı verilerine erişim, cihazın zaten ele geçirilmiş olmasını gerektirir. Bu alandaki tasarım tercihleri performans, kullanılabilirlik ve güvenlik arasında denge kurmayı içerir” ifadelerine yer verildi.
Bu açıklama siber güvenlik camiasında ciddi tepkiyle karşılandı. Rønning, Edge’in bu şekilde davranan tek Chromium tabanlı tarayıcı olduğunu vurguladı. Google Chrome, Brave ve Opera gibi rakipler yalnızca kullanıcı bir parolayı görüntülemek istediğinde ilgili veriyi çözüp belleğe alıyor. Chrome ayrıca App-Bound Encryption adı verilen ikincil bir şifreleme katmanıyla çözme anahtarlarını kimliği doğrulanmış tarayıcı sürecine bağlıyor. Teknoloji Haberleri - Teknoloji Medya
