News Sicherheitslücke: Browser speichern Passwörter im Klartext im Arbeitsspeicher

[SaxnPaule]

@SVΞN

Mittlerweile gilt als gesichert, dass neben Googles Browser auch Microsoft Edge und Firefox betroffen ist sind und sehr sensible Daten unverschlüsselt im RAM ablegt ablegen.

 

[jackii]

Gibt genug, ich nenn sie mal DAUS, die den Dingern vertrauen. Weil ist ja bequem und man muß sein Hirn nicht einschalten.

Naja dass man Passwort Manager verwenden soll sagen alle und dass speziell die im Browser integrierten nichts taugen hab ich zumindest noch nicht gehört, als wäre das Konsens die nicht verwenden zu können.
Keine Fremden in die Wohnung und eine exe installieren lassen, hilft ja schon ganz gut.
Ob Firefox das beheben kann und ob sämtliche andere Manager nicht sehr ähnliche Probleme haben, weiß ich jetzt nicht, aber sie müssen letztlich auch die Daten in Klartext irgendwie in den Browser bekommen.

 

[|SoulReaver|]

Die meisten stellen ihren Browser schon mal "fremdfreundlich" ein. Da fängt es schon mal an. Und Passwortmanager verwenden nun ja. Wer in diesen Zeiten noch Passwörter im Browser und auf seinem PC Phone und so weiter speichert nun ja....

Ergänzung (13. Juni 2022)

@SVΞN

Echt jetzt? Mir ist die Information wichtiger, als zwei Worte die SV3N nicht nach deinem Geschmack verwendet hat. Also ehrlich....

 

[Spike S.]

Wenn eine Schadsoftware die Möglichkeit hat, in den Arbeitsspeicherbereich einer anderen Software herumzuschnüffeln, dann ist es eh schon zu spät. Das eigentliche Problem liegt ganz wo anders.

Das Problem ist aber, es braucht noch nicht mal direkt Schadsoftware. Schwere Bugs werden immer wieder überall gefunden. Auch Day 1 Bugs in seit Jahren laufender Programme oder Bibliotheken. Über mehrere kann man dann auch an den Arbeitsspeicher gelangen.
War nicht erst vor kurzem ein schwerer Fehler im Windows RDP gefunden worden? Oder man denke an Heartbleed im SSL.
Ein Bug steht nie für sich alleine.

 

[Zeitlupe]

In der Regel eher nicht.

Echt seltsam, wenn ein Programm auf den Arbeitsspeicher eines anderen zugreift, sollten doch alle Alarmglocken leuten... Legitime Anwendungsfälle sind ja an einer Hand abzuzählen und können vom User whitelisted werden.

 

[Tomsenq]

Betrifft "Anmeldedaten", die in Klartext im RAM abgelegt sind nun die browsereigenen Passwortmanager, oder auch die Daten, die ich manuell in einer Anmeldemaske per Hand eingebe (oder einem externen PW-Manager?).

Alle Daten in den Passwortfeldern.
Aber ich sehe das Problem nicht außer jemand hat zugriff auf deinen PC und kann die entsprechende Software zum auslesen laufen lassen, wenn das aber der Fall ist hat man ganz andere Probleme.

Ergänzung (13. Juni 2022)

Die meisten stellen ihren Browser schon mal "fremdfreundlich" ein.

Es braucht zugriff auf den PC in irgendeiner Form um das Programm zum auslesen zu nutzen. Egal was im Browser eingestellt ist.

 

[Balikon]

Meine wichtigsten Passwörter liegen in der brain.exe. Passwörter von nicht so häufig genutzten Diensten erneuere ich immer über "Passwort vergessen", da haue ich dann irgendwas random neu rein, ist ja egal, wenn ich es in einem halben Jahr vergessen habe.

 

[Tomsenq]

Auch Day 1 Bugs in seit Jahren laufender Programme oder Bibliotheken. Über mehrere kann man dann auch an den Arbeitsspeicher gelangen.

und trotzdem benötigt man noch immer Zugriff auf den PC.

Ergänzung (13. Juni 2022)

Meine wichtigsten Passwörter liegen in der brain.exe.

Deine brain.exe hatte beim lesen des Artikels vermutlich einen Absturz , es geht um das Passwortfeld in welches die Daten eingetippt werden. Egal ob aus dem PWM oder der brain.exe.

 

[aid0nex]

Die Begründung der Haltung von Google ist schlüssig. Ich schließe mich den Vorkommentatoren hier an.

 

[|SoulReaver|]

Alle Daten in den Passwortfeldern.
Aber ich sehe das Problem nicht außer jemand hat zugriff auf deinen PC und kann die entsprechende Software zum auslesen laufen lassen, wenn das aber der Fall ist hat man ganz andere Probleme.

Ergänzung (13. Juni 2022)

Es braucht zugriff auf den PC in irgendeiner Form um das Programm zum auslesen zu nutzen. Egal was im Browser eingestellt ist.

Schon ja. Nur wir sind uns denke ich einig sehr viele machen sich keine Gedanken darüber, wie man so gut wie möglich einen Browser einstellt dass.... Bequehmlichkeit und man ladet sich noch einen haufen Mist und sogenannte kleine Helferlein drauf, die dann auch Tür und Tor aufmachen könnten.

 

[Chriz]

Die Begründung von Google finde ich schlüssig.
Aber interessant ist doch auch, dass FF das selbe "Problem" hat. Zwei unabhängige Team lösen eine Aufgabe auf ähnliche Weise, bzw hat sich keiner Gedanken gemacht, was passieren "könnte"...


BTW wie sieht es mit Passwortmanagern aus? Entweder man hat die AutoFill-In Funktion aktiviert und keypass muss die Daten auch "irgendwie" rüber in den Browser kopieren und ohne AutoFill-In läuft es eben über copy'n past und das PW landet auch im RAM (auch wenn KeyPass den Zwischenspeicher nach 3 Sek. löscht...).

 

[Viper816]

Also in der Zeit, in der die Google-Leute diese umfangreiche Erklärung erdacht, ausformuliert und mit dem Bereichsleiter abgestimmt haben, hätten die auch einfach den Fehler flicken können!


PS: Also das mit dem RAM in einzelnen Anwendugnen gegeneinander abzuschirmen ist ja mal ne super Idee. Klar ist das sicher, aber ich kann dann ja nichtmal mehr das Passwort aus dem Keepass in den Broswer kopieren...
...also ist as Betriebssystem nutzlos und man müsste für jedes Proggi ein einenes OS aufsetzen oder wo soll diese Idee jetzt genau hinführen?

 

[Balikon]

Deine brain.exe hatte beim lesen des Artikels vermutlich einen Absturz. ...Egal ob aus dem PWM oder der brain.exe.

Jupp, habe gerade neugestartet.

 

[naoki]

Ganz grundsätzlich sollten alle sensiblen Daten auch im Speicher verschlüsselt werden. Das kann man heute absichern, dass die Anwendung die auf den Speicher zugreift, entsprechend über Zertifikate den Datensatz wieder entschlüsseln kann. Ist doch das gleiche Problem wie bei den Prozessoren von Intel und zum Teil auch AMD, dass man die L-Caches auslesen konnte. Dafür wurden auch Schutzmaßnahmen ergriffen.

Am Ende ist das Thema Verschlüsslung natürlich wieder ein Leistungskiller, so dass man das Thema lange ignoriert hat.

Passwort Manager im Browser sind für mich ein no Go Feature. Dafür gibt es dedizierte Passwort Manager, die auch die Zwischenablage nach einer gewissen Zeit automatisch löschen / überschreiben und mit Autofill ist es auch nicht langsamer, als im Browser. Und ja, Sicherheit kostet derzeit Komfort und Bequemlichkeit.

 

[fullnewb]

Ich will hier natürlich die Brwoser-Hersteller nicht in Schutz nehmen, denn meiner Meinung nach sollten sensible Daten im RAM immer verschlüsselt vorliegen. Trotzdem finde ich, dass das Problem teilweise auch ein OS-Problem ist, denn:

[...]
This information can be extracted effectively by a standard (non-elevated) process running in the local machine and performing direct access to Chrome’s memory (using OpenProcess + ReadProcessMemory APIs).
[...]

Das ein Prozess, der nicht vom Root/Admin (also elevated) gestartet wird auf den Speicher anderer Prozesse lesend zugreifen kann, DAS ist doch auch schon ein Problem für sich, oder sehe das nur ich so?

@SVΞN Hast du zufällig Infos dazu, ob dieses Problem prinzipiell auch in Linux auftritt?

 

[M@tze]

Und letztens hatten wir noch die Diskussion, wie „schlecht“ es ist das in iOS der Unterbau der Browser immer der Safari ist, Chromium wäre genauso gut.

 

[Xood]

Tatsächlich ist es so, habe gerade unter Windows 11 mit Edge am laufen gesucht, und meine Passwörter sind im Klartext im Speicher enthalten. Auch ohne dass ich diese irgendwie aktive genutzt habe.

Das ist mehr als unsauber und unverständlich.
Sie sollten zu jeder zeit verschlüsselt sein, außer für den kurzen Moment wenn das Passwort tatsächlich benötigt wird.

Zwar speichere ich keine Passwörter von sensible Seiten, dennoch ist das ein No-Go.

 

[fullnewb]

Natürlich ist sowas als Klartext in Arbeitsspeicher. Man will ja auch damit arbeiten können. Schließlich muss man das Passwort im Klartext in das Textfeld der Webseite reinschreiben. [...]

Dafür gibt es in der Regel eine OS-API. Bei Windows z.B. https://docs.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptprotectmemory

Mit dem Flag

CRYPTPROTECTMEMORY_SAME_PROCESS

sollte also nur der Browser darauf zugreifen können. Damit muss sich niemand selbst um die Verschlüsselung bemühen und Schlüssel verwalten

Und letztens hatten wir noch die Diskussion, wie „schlecht“ es ist das in iOS der Unterbau der Browser immer der Safari ist, Chromium wäre genauso gut.

Das hat irgendwie null miteinander zu tun, oder kannst du unter iOS EXE-Dateien ausführen?

 

[SaxnPaule]

Echt jetzt? Mir ist die Information wichtiger, als zwei Worte die SV3N nicht nach deinem Geschmack verwendet hat. Also ehrlich....

Hat nix mit Geschmack sondern mit Grammatik zu tun.

Es ist der Teaser des Artikels, also das, was auch auf der Titelseite und im Google Index angezeigt wird.
Von daher finde ich es da schon recht wichtig. Wäre es ein Buchstabendreher mitten im Text, vollkommen egal...

 

[MountWalker]

Alle diese Systeme gehen davon aus, dass das “Userland“ eine vertrauenswürdige Umgebung ist. D.h. ein Prozess eines Users kann auf alle Daten des gleichen Users zugreifen. [...]

Ist das mit SELinux (seit 20 Jahren), AppArmor (spätestens seit 15 Jahren) oder TOMOYO (auch ca. 15-18 Jahre) auch so? Und wenn das Auslese-Tool am Ende dann doch wieder Admin-Rechte braucht, muss ich wieder ganz groß gähnen, weil ein Prozess mit Adminrechten auch einen Keylogger installieren kann.