เซฟรหัสผ่านไว้จะปลอดภัยมั้ยเนี่ย 🚨
Microsoft Edge ถูกตั้งคำถามด้านความปลอดภัย หลังมีรายงานว่านักวิจัยพบว่าเบราว์เซอร์อาจโหลดรหัสผ่านที่ผู้ใช้บันทึกไว้ใน Password Manager ขึ้นมาเก็บไว้ใน RAM แบบ plaintext หรืออยู่ในรูปแบบที่สามารถอ่านได้ชัดเจน ตั้งแต่ตอนเปิดโปรแกรม แม้ผู้ใช้จะยังไม่ได้เข้าเว็บไซต์นั้น ๆ หรือกดใช้ฟีเจอร์กรอกรหัสผ่านอัตโนมัติก็ตาม
.
ประเด็นนี้ถูกเปิดเผยโดย Tom Jøran Sønstebyseter Rønning นักวิจัยด้านความปลอดภัยจากนอร์เวย์ ซึ่งได้เผยแพร่เครื่องมือทดสอบแบบ proof-of-concept บน GitHub ในชื่อ EdgeSavedPasswordsDumper เพื่อสาธิตว่า Microsoft Edge จัดการกับรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์อย่างไร
.
จากการทดสอบพบว่า เมื่อเปิด Edge ขึ้นมา เบราว์เซอร์อาจถอดรหัสข้อมูลบัญชีที่บันทึกไว้ทั้งหมด แล้วนำไปเก็บอยู่ในหน่วยความจำของโปรเซสหลัก โดยข้อมูลที่พบอาจรวมถึงชื่อผู้ใช้และรหัสผ่านในรูปแบบที่อ่านออกได้
.
อย่างไรก็ตาม กรณีนี้ไม่ได้หมายความว่าใครก็สามารถแฮก Edge จากระยะไกลแล้วขโมยรหัสผ่านของผู้ใช้ได้ทันที เพราะผู้โจมตีจำเป็นต้องเข้าถึงเครื่องหรือหน่วยความจำของโปรเซส Edge ได้ก่อน เช่น เครื่องติดมัลแวร์ ถูกควบคุมจากระยะไกล หรือมีผู้ไม่หวังดีได้สิทธิ์ระดับสูงบนเครื่องแล้ว จากนั้นจึงใช้เทคนิค memory dump เพื่อดึงข้อมูลที่อยู่ใน RAM ออกมา
.
จุดที่ทำให้เรื่องนี้ถูกจับตามอ งมากขึ้นคือ Microsoft reportedly ตอบกลับนักวิจัยว่า ปัญหาดังกล่าวเป็น “by design” หรือเป็นไปตามการออกแบบของระบบ ไม่ใช่บั๊กที่บริษัทมองว่าต้องแก้ไขเร่งด่วน แม้ Edge จะมีระบบยืนยันตัวตนก่อนดูหรือกรอกรหัสผ่าน เช่น Windows Hello, PIN หรือรหัสผ่านเครื่อง แต่การป้องกันเหล่านี้ช่วยในระดับหน้าจอการใช้งานเป็นหลัก ไม่ได้หมายความว่าจะกันกรณีที่ผู้โจมตีอ่านข้อมูลจาก RAM ได้โดยตรงเสมอไป
.
นักวิจัยยังระบุว่า พฤติกรรมนี้ดูแตกต่างจากเบราว์เซอร์ Chromium ตัวอื่น เช่น Google Chrome และ Brave ที่มักถอดรหัสข้อมูลเฉพาะตอนจำเป็นต้องใช้ เช่น ตอนผู้ใช้กด autofill หรือเข้าไปดูรหัสผ่านที่บันทึกไว้ ไม่ได้โหลดรหัสผ่านทั้งหมดขึ้นมาไว้ในหน่วยความจำตั้งแต่เปิดเบราว์เซอร์ในลักษณะเดียวกัน
.
สำหรับผู้ใช้ทั่วไป เรื่องนี้ไม่จำเป็นต้องตื่นตระหนกจนถึงขั้นเลิกใช้ Edge ทันที แต่ควรใช้เป็นจังหวะในการทบทวนรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ โดยเฉพาะบัญชีสำคัญ เช่น อีเมลหลัก บัญชีทำงาน ธนาคาร โซเชียลมีเดีย หรือบัญชีที่ใช้กู้คืนบริการอื่น ๆ หากเป็นบัญชีที่มีความสำคัญสูง ควรพิจารณาใช้ password manager เฉพาะทางแทนการฝากรหัสผ่านทั้งหมดไว้กับเบราว์เซอร์เพียงอย่างเดียว
.
นอกจากนี้ ผู้ใช้ควรอัปเดต Microsoft Edge และ Windows ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ หลีกเลี่ยงการติดตั้งโปรแกรมหรือส่วนขยายที่ไม่รู้แหล่งที่มา ไม่เปิดไฟล์ต้องสงสัย และเปิดใช้งานการยืนยันตัวตนสองชั้น หรือ 2FA รวมถึง passkeys กับบัญชีสำคัญ เพื่อลดความเสียหายหากรหัสผ่านรั่วไหล
.
ที่มา : Neowin, HKEPC
