Edge armazena senhas em texto simples, gerando debate sobre segurança
Um pesquisador de segurança norueguês, Tom Jøran Sønstebyseter Rønning, revelou uma prática preocupante no Microsoft Edge: o navegador carrega senhas salvas na memória RAM em formato de texto puro, sem qualquer tipo de criptografia.
Essa descoberta, que diverge do comportamento observado em outros navegadores baseados no Chromium, como o Google Chrome, levanta sérias questões sobre a segurança das informações dos usuários. A Microsoft, ao ser alertada, declarou que essa conduta é intencional e não representa uma vulnerabilidade.
Apesar da justificativa da empresa, a forma como o Edge gerencia as senhas na memória pode expor os dados a riscos em cenários de invasão por malware ou hackers. A seguir, detalhamos a descoberta, a resposta da Microsoft e as implicações para os usuários.
Como o Edge lida com senhas salvas
Ao salvar senhas no Microsoft Edge, o navegador as descriptografa assim que é iniciado e as mantém acessíveis na memória do processo, mesmo que o usuário não acesse ativamente sites que utilizem essas credenciais. Essa abordagem, segundo Rønning, é única entre os navegadores baseados no Chromium que ele testou, tornando a extração de senhas salvas significativamente mais fácil para invasores que consigam ler a memória do processo.
Em contraste, o Google Chrome adota um design que dificulta consideravelmente a obtenção de senhas salvas por meio da leitura direta da memória, oferecendo uma camada adicional de proteção.
Microsoft: Comportamento é intencional, não falha
Após ser informado sobre a descoberta, a Microsoft respondeu que o comportamento do Edge em relação ao armazenamento de senhas em texto puro na memória é intencional e faz parte do design do navegador. A empresa argumenta que o acesso a esses dados na memória exigiria que o dispositivo do usuário já estivesse comprometido.
Em comunicado, a Microsoft afirmou que “segurança e proteção são fundamentais para o Microsoft Edge. O acesso aos dados do navegador, conforme descrito no cenário relatado, exigiria que o dispositivo já estivesse comprometido”. A companhia também ressaltou que “os navegadores acessam os dados de senha na memória para ajudar os usuários a fazer login de forma rápida e segura, esse é um recurso esperado do aplicativo”.
A empresa recomenda que os usuários mantenham seus sistemas atualizados com as últimas atualizações de segurança e software antivírus para se protegerem contra ameaças. A Microsoft, portanto, não considera o cenário uma vulnerabilidade de segurança e não planeja alterar o funcionamento do navegador neste aspecto.
Especialista contesta a visão da Microsoft
Apesar da explicação da Microsoft, o pesquisador Tom Rønning contrapõe, afirmando que, embora um invasor com controle total do sistema possa causar danos significativos, isso não justifica facilitar o acesso a informações sensíveis.
A decisão da Microsoft de manter o comportamento atual do Edge, mesmo diante das preocupações levantadas, pode gerar desconfiança entre os usuários que priorizam a segurança de suas credenciais. Resta aguardar se a empresa reavaliará sua posição diante da repercussão do caso.