Microsoft Edge: Keine Klartext-Passwörter mehr im Browserprozess

Vor zwei Wochen schlug hohe Wellen, dass Microsofts Webbrowser Edge beim Start alle Passwörter aus dem Passwort-Manager lädt – und im Klartext im Prozessspeicher vorhält. Die Entwickler haben nach den Medienberichten reagiert, aktualisierte Browser-Versionen machen das nicht mehr.

In den Update-Notizen zu Microsoft Edge für das Update vom Freitag haben die Entwickler angegeben, das Problem gelöst zu haben. Dort schreiben sie, sie haben Änderungen am Passwort-Manager vorgenommen. Die sollen sicherstellen, dass Passwörter nicht mehr beim Browser-Start in den Speicher geladen werden. Ein Blog-Post liefert zudem weitere Informationen. Zunächst erklären die Programmierer, dass das Verhalten von Edge zuvor basierend auf den bestehenden Kriterien ins erwartete Bedrohungsmodell passe. Das Risiko entstehe dadurch, dass ein Angreifer das Gerät bereits kompromittiert habe. Dennoch sehe man Verbesserungspotenzial.

Als erste Maßnahme lädt Microsoft Edge nun beim Start die Passwörter nicht mehr in den Speicher. Die Verteilung des Updates erfolgt mit Priorisierung, für Microsoft Edge Version 148 und neuere. Wer den Edge-Passwort-Manager nutze, müsse nichts weiter machen, die Änderung solle durch den regulären Update-Kanal eintrudeln.

Behandlung der Fehlermeldung nicht so prickelnd

Die Entwickler schreiben auch, dass sie die Behandlung derartiger Fehlerberichte noch mal genauer unter die Lupe nehmen. Die erste Reaktion auf den Fehlerbericht von Tom Jøran Sønstebyseter Rønning basierte auf bestimmten Kriterien für das Chromium-Projekt. Das sei als Grundlinie zu verstehen, Microsoft wolle die Latte für sich aber höher legen. Der Prozess zur Behandlung von Fehlerberichten von IT-Forschern soll noch einmal überprüft werden. Die Entwickler wollen einen Fokus auf Geschwindigkeit, Klarheit und einen Defense-in-depth-Denkansatz stärken und früher damit ansetzen.

Vor rund zwei Wochen konnten wir das Problem einfach nachstellen. Ein frisch im Passwort-Manager von Microsoft angelegtes Konto führte dazu, dass nach einem Browser-Neustart das Passwort im Klartext im Dump des Prozessspeichers auffindbar war. Der Test mit einer aktuellen Microsoft-Edge-Version, konkret 148.0.3967.70, liefert nach Suche im Prozessspeicher das Passwort nicht mehr einfach aus. Wer den Chromium-basierten Edge nutzt, sollte daher sicherstellen, dass der Browser auf aktuellem Stand ist.

(dmk)