Foto di Vova Kondriianenko.

Microsoft Edge memorizza tutte le password salvate nel browser in chiaro nella RAM durante l'intera sessione, esponendo le credenziali a chiunque disponga di accesso amministrativo al sistema. La scoperta è stata svelata su X dal ricercatore di sicurezza Tom Jøran Sønstebyseter Rønning, che ha dimostrato come il browser decritti l'intero archivio delle password all'avvio, mantenendolo in memoria anche senza che l'utente visiti i siti associati. Secondo l'analisi tecnica, Edge conserva in memoria frammenti JSON contenenti coppie username/password, stringhe delimitate e altre rappresentazioni testuali delle credenziali. Rønning ha spiegato che il browser «decritta e conserva tutte le password salvate in memoria di processo per l'intera durata della sessione», aggiungendo che questo avviene «anche se l'utente non visita i siti che utilizzano quelle credenziali».

La vulnerabilità è stata classificata come un caso di CWE‑316, ovvero memorizzazione in chiaro di informazioni sensibili in memoria. Il comportamento è stato confermato come riproducibile tramite dump di memoria del processo msedge.exe, dove le password risultano leggibili senza necessità di ulteriori passaggi di autenticazione. La questione sembra essere un problema serio sfuggito ai controlli di sicurezza, ma Microsoft ha dichiarato che in realtà il comportamento è voluto, non un bug. Questa posizione è curiosa perché contrasta con l'approccio adottato da altri browser basati su Chromium, come Chrome, che decrittano le password solo quando necessario e utilizzano tecniche come l'App‑Bound Encryption (in cui la decrittazione dei dati è legata all'identità dell'applicazione che l'ha richiesta, non all'account utente) per limitare l'accesso non autorizzato. Edge, invece, mantiene tutte le credenziali in chiaro per l'intera durata della sessione.

Il ricercatore ha evidenziato che chiunque abbia privilegi amministrativi può accedere alla memoria dei processi degli utenti in ambienti condivisi come VDI, terminal server o Citrix. In tali scenari, un aggressore può estrarre le password salvate da Edge e utilizzarle per muoversi "lateralmente" nella rete, impersonare altri utenti o accedere a risorse sensibili. Rønning ha spiegato che «una volta ottenuto l'accesso alla memoria di processo, è possibile estrarre le credenziali e usarle per una vasta gamma di attività malevole». Ulteriori verifiche indipendenti hanno confermato che Edge richiede l'autenticazione tramite Windows Hello per visualizzare le password nel gestore integrato, ma questa protezione non impedisce l'estrazione delle credenziali dalla RAM. La discrepanza tra l'interfaccia utente e il comportamento interno del browser è stata definita da alcuni esperti come una «falsa sensazione di sicurezza».

Test condotti da altri hanno mostrato che le password rimangono in memoria anche dopo il riavvio del browser, purché la sessione rimanga attiva. In un esempio documentato, una password di test è stata trovata in chiaro in un dump di 670 MByte generato subito dopo l'avvio di Edge, senza che l'utente avesse visitato alcun sito. Una volta che la situazione è diventata chiara, le critiche non hanno tardato a montare: in breve, nessuno considera più la memorizzazione persistente in RAM una pratica accettabile.

Sullo stesso tema:

Microsoft Edge elimina la master password

Poste Italiane, i dati di un milione di utenti nel dark web. L'azienda: "Non...

PayPal, allarme sicurezza: i dati di 15,8 milioni di account in vendita sul dark...

Instagram, le password tenute in chiaro erano milioni

Microsoft ha ribadito che gli attacchi locali non rientrano nel "modello di minaccia" del browser: in altre parole, Edge è progettato per difendersi dagli attacchi da remoto, non da quelli che possono essere portati da parte di chi ha accesso diretto alla macchina su cui gira il browser; si tratta di una posizione che ha subito suscitato ulteriori discussioni sul livello di protezione atteso in contesti aziendali. La vicenda ha riacceso il dibattito sulla sicurezza dei gestori di password integrati nei browser e sulla necessità di soluzioni più robuste.

Spunti di approfondimento:

Facebook, i dati di mezzo miliardo di utenti accessibili pubblicamente

Facebook ha tenuto centinaia di milioni di password in chiaro. Per anni

Sextortion, il ricatto a sfondo sessuale che usa le vere password degli utenti

20 dollari per compromettere una rete aziendale