Microsoft Edge 正在将密码存储为明文？以下是微软的说法。

Source: Mashable Tech

发现

研究员 Tom Jøran Sønstebyseter Rønning 发现，Microsoft Edge 在启动时会将所有已保存的密码加载到内存中——以明文形式。Rønning 在一条 X 贴文 中详细说明，即使用户在会话期间没有访问使用密码管理器的站点，凭据仍会被解密。

“如果攻击者在终端服务器上获得管理员访问权限，他们可以访问所有已登录用户进程的内存，”Rønning 写道。

与其他基于 Chromium 的浏览器的比较

Edge 是微软基于 Chromium 开源项目构建的专有浏览器。Rønning 表示，此问题 不 出现在其他基于 Chromium 的浏览器（如 Google Chrome）中。

“Edge 是我测试过的唯一会出现这种行为的 Chromium 浏览器，”Rønning 说。“相比之下，Chrome 采用的设计使得攻击者仅通过读取进程内存就很难提取已保存的密码。”

微软的回应

Rønning 在公开披露之前已联系微软。微软据称回应称此行为是 “设计如此”。德国科技网站 Heise Online 复现了该问题，并指出，根据既定的网络安全最佳实践，“密码应仅在使用时解密，并在很短时间内从内存中删除”。

Heise Online article

建议

鉴于微软的立场，担心已保存密码可能被泄露的用户可以考虑使用其他密码管理器或不会将密码以明文加载到内存中的浏览器。

Mashable 已联系微软以获取进一步评论，如有更多信息将更新此稿。