Trình duyệt Microsoft Edge đang trở thành tâm điểm tranh cãi trong giới bảo mật sau khi các nhà nghiên cứu phát hiện phần mềm này lưu toàn bộ mật khẩu dưới dạng text không mã hóa trực tiếp trong RAM ngay khi khởi động, tạo ra nguy cơ lớn cho người dùng nếu máy tính bị nhiễm mã độc hoặc bị chiếm quyền điều khiển.
Nhà nghiên cứu bảo mật Tom Jøran Sønstebyseter Rønning cho biết Edge sẽ giải mã toàn bộ thông tin đăng nhập đã lưu và giữ chúng liên tục trong bộ nhớ tiến trình, ngay cả khi người dùng chưa truy cập bất kỳ website nào liên quan, điều mà ông khẳng định không xảy ra trên Google Chrome hay nhiều trình duyệt Chromium khác.
Thông qua một video minh họa, ông Rønning cho thấy hacker chỉ cần quyền quản trị Windows là có thể dùng Task Manager tạo file memory dump từ tiến trình Edge, sau đó trích xuất hàng loạt tài khoản và mật khẩu đang được lưu trong trình duyệt dưới dạng plaintext cực kỳ dễ đọc.
Điều đáng nói là Microsoft không xem đây là lỗ hổng bảo mật nghiêm trọng mà cho rằng đây là cơ chế được thiết kế nhằm tăng tốc trải nghiệm đăng nhập, giúp người dùng truy cập dịch vụ web nhanh hơn và thuận tiện hơn trong quá trình sử dụng trình duyệt hàng ngày.
Theo Microsoft, nguy cơ chỉ xuất hiện khi máy tính đã bị hacker hoặc phần mềm độc hại chiếm quyền điều khiển trước đó, đồng nghĩa hệ thống vốn đã bị xâm nhập, tuy nhiên nhiều chuyên gia bảo mật phản bác rằng chính việc lưu mật khẩu không mã hóa trong RAM đã vô tình làm giảm thêm lớp phòng thủ quan trọng của người dùng.
Một nhà nghiên cứu khác là Rob VandenBrink cũng xác nhận có thể tái hiện toàn bộ quy trình đánh cắp mật khẩu bằng cách tạo bản ghi bộ nhớ từ Edge đang chạy, cho thấy vấn đề không chỉ là lý thuyết mà hoàn toàn có thể khai thác trong thực tế trên các máy tính Windows bị kiểm soát cục bộ.
Trong khi Google Chrome chỉ giải mã mật khẩu khi người dùng thực sự cần tự động điền và xóa dữ liệu ngay sau đó, Edge lại duy trì toàn bộ thông tin đăng nhập trong RAM liên tục, khiến cộng đồng công nghệ đặt câu hỏi vì sao Microsoft không áp dụng cơ chế bảo mật chặt chẽ hơn cho dữ liệu nhạy cảm.
Vụ việc đang làm dấy lên làn sóng tranh luận gay gắt trong giới công nghệ, bởi giữa thời điểm tấn công mạng và mã độc đánh cắp tài khoản ngày càng tinh vi, việc một trình duyệt phổ biến như Edge lưu mật khẩu dạng lộ thiên trong RAM bị xem là rủi ro khó chấp nhận đối với hàng triệu người dùng Windows trên toàn cầu.
