News Sicherheitslücke: Browser speichern Passwörter im Klartext im Arbeitsspeicher

[Mardock]

Bis auf Banking und E-Mail hab ich auch alles im Browser gespeichert aber bei seriösen seiten sollte man ja eh ohne E-Mail Zugang keine großen Schaden anrichten können.

 

[wolve666]

weil du einem solchen Passwort Manager nicht vertraust, heißt das nicht, dass da niemand tut.

Hab ich ja auch nicht gesagt. Gibt genug, ich nenn sie mal DAUS, die den Dingern vertrauen. Weil ist ja bequem und man muß sein Hirn nicht einschalten.

Ergänzung (13. Juni 2022)

es geht nicht nur um gespeicherte passwörter sondern auch um manuell eingegebene

Das wäre natürlich fatal. Aber hat man da sich nicht schon nen tracker eingefangen?

 

[jray]

Wir haben doch alle nichts zu verbergen!

 

[Enigma]

Ich sehe klar die Argumente von Wont-Fix. Das ist kein Problem des Browsers, das ist ein Problem des Betriebssystems. Der Browser kann die Passwörter verschlüsseln - das macht es nur MINIMAL schwieriger die Passwörter auszulesen, weil das Passwort für die Verschlüsselung ebenfalls im Arbeitsspeicher ist. Das gleiche Problem haben ja KeePass und Konsorten, die gehen dann hin und löschen die Passwörter aus dem RAM - das ist im Brower halt null praktikabel.

Microsoft arbeitet an virtualisierungsbasierter Sicherheit - das wäre der richtige weg.

 

[leipziger1979]

Um diese auszulesen ist bei entsprechendem Zugriff auf das System lediglich das kleine Tool ProcessHacker respektive die ProcessHacker.exe notwendig.

Ja, wenn das erst möglich hast du eh ganz andere Probleme.
Zudem nutzen eh viele die Funktion zum speichern von Passwörtern im Browser, von daher kommst auch da ganz leicht ran.

Aber Artikel von "Sicherheitsforschern", wo mal wieder irgendeine Sau durchs Dorf getrieben wird, überfliege ich nur noch weil die meist fern jeglicher Praxis sind.

 

[conf_t]

Mir war der Text der Meldung nicht differenziert genug beim Überfliegen. Betrifft "Anmeldedaten", die in Klartext im RAM abgelegt sind nun die browsereigenen Passwortmanager, oder auch die Daten, die ich manuell in einer Anmeldemaske per Hand eingebe (oder einem externen PW-Manager?).

 

[ZenMasterTM]

Ich möchte gerne wissen, wie es auf der Hardware-Seite aussieht. Was für ein System wurde verwendet? AMD wirbt doch mit ihrem Memory Guard, der den RAM vollständig verschlüsselt.
Intel hatte mal Total Memory Encryption (TME) beziehungsweise Multi-Key Total Memory Encryption (MKTME) angekündigt, aber eine CPU, die das bietet gibt es meines Wissens nach noch nicht.

Wäre mit sowas das Problem gelöst?

Es gehört ja irgendwie mehr dazu als sich nur die Software-Seite anzuschauen. Ist aber natürlich kacke wenn die Browser sich so verhalten.

Ergänzung (13. Juni 2022)

Aber Artikel von "Sicherheitsforschern", wo mal wieder irgendeine Sau durchs Dorf getrieben wird, überfliege ich nur noch weil die meist fern jeglicher Praxis sind.

Ich kann mir auch nur das Szenario vorstellen wie jemand sein Notebook im Standby irgendwo in der Öffentlichkeit liegen lässt... man muss da schon sehr gelassen durchs Leben gehen xD

 

[AGB-Leser]

Google so:
Ist doch euer Problem, nicht unseres

Überrascht mich jetzt nicht wirklich. Aber ich bin immer davon ausgegangen, dass Daten von Prozessen per Zufallsmodus im Arbeitsspeicher abgelegt werden. Damit eben nicht ein zweites Programm die Daten auslesen kann. Und verschlüsselt sollen die auch sein. Oder wurde das doch wieder nicht implementiert?

Aber sein Leben im Browser zu speichern, muss ja echt nicht sein

 

[Snowi]

Ich sehe klar die Argumente von Wont-Fix. Das ist kein Problem des Browsers, das ist ein Problem des Betriebssystems.

So ist es. Es lässt sich nicht vermeiden, das Passwort sollte nur nicht länger im RAM liegen als nötig, was es wohl auch nicht wird. Sonst gibt es als Entwickler nicht viel, was man machen kann. Klar, man kann es erschweren, aber man kann ja nicht täglich ein Update mit einem neuen Verfahren veröffentlichen, wo die Exploits angepasst werden müssten.

AMD wirbt doch mit ihrem Memory Guard, der den RAM vollständig verschlüsselt.
Intel hatte mal Total Memory Encryption (TME) beziehungsweise Multi-Key Total Memory Encryption (MKTME) angekündigt, aber eine CPU, die das bietet gibt es meines Wissens nach noch nicht.

Wäre mit sowas das Problem gelöst?

Nein, zumindest nicht mit Memory Guard / TME. Der Zweck von den beiden ist eher den RAM.zu verschlüsseln, damit ein Host der ein virtualisiertes Betriebssystem laufen lässt nicht auf den RAM zugreifen kann, oder man nicht versucht den RAM im laufenden Betrieb elektrisch auszulesen.
Intel hatte mal SGX, das wäre eine Alternative, wurde aber bei neueren CPUs afaik wieder eingestellt.

 

[AncapDude]

Ok mein Kennwort im RAM zu suchen ist eine Sache, aber ist die Speicherstruktur bekannt sodaß ich dort fremde Kennwörter oder Sessions etc. auslesen kann? Vermutlich NICHT. Wieder viel Wind um Nichts.

 

[AGB-Leser]

Würde mich auch nicht wundern, wenn man über Javascript auf die Browser-API zugreifen und die Daten ganz entspannt abschnorcheln kann. Wenn man über WebRTC sogar die interne und externe IP auslesen kann, dann läuft bei Browsern richtig was falsch. Das sind alles Dinge, die eigentlich nicht möglich sein sollten

 

[Web-Schecki]

Microsoft arbeitet an virtualisierungsbasierter Sicherheit - das wäre der richtige weg.

Was bedeutet das? Dass die Browser in einer VM laufen? Das erschwert dann ja nur das Auslesen, verhindert es aber nicht, oder? Denn auch da liegen die Sachen ja irgendwo im RAM, und wenn man auf den Host Zugriff hat und den der VM zugewiesenen Speicher auslesen kann, kommt man weiterhin daran.

Ich bin leider kein Experte, aber generell klingt das nach einem Problem auf OS-Ebene, wo die Speicherbereiche einzelnen Anwendungen gegeneinander abgesichert sein sollten. Natürlich wird man mit genügend lokalen Rechten machen können, was man will, aber da wäre ich dann in der Tat bei Googles Argumentation. ProcessHacker.exe benötigt ja sicherlich Privilegien?!
Und überhaupt: Ist nur Windows betroffen? Das wird aus der Meldung leider nicht ersichtlich.

 

[ZenMasterTM]

Nein, zumindest nicht mit Memory Guard / TME. Der Zweck von den beiden ist eher den RAM.zu verschlüsseln, damit [...]man nicht versucht den RAM im laufenden Betrieb elektrisch auszulesen.

Aber ist nicht genau das das Szenario, dass in dem Artikel beschrieben wird?

 

[netzgestaltung]

über Javascript auf die Browser-API zugreifen

nein das geht nicht so einfach bzw würde eine lücke hier sehr schnell geschlossen werden. da gabs ja schon präzedenzfälle mit der History API und es ist mit ecmascript spezifiziert.

 

[TomH22]

Die „Sicherheitsforscher“ beschreiben zwar das Problem richtig, aber benennen die komplett falschen Schuldigen. Mit Chrome oder Firefox hat das nichts zu tun, sondern mit dem Sicherheitsmodell üblicher Desktop Betriebssysteme, und das sind Windows und Linux im Prinzip gleich:

Alle diese Systeme gehen davon aus, dass das “Userland“ eine vertrauenswürdige Umgebung ist. D.h. ein Prozess eines Users kann auf alle Daten des gleichen Users zugreifen. Das gilt auch für den Arbeitsspeicher von anderen Prozessen dieses Users. Unter Linux ist es sogar noch einfacher, da kann man über das /proc Filesystem einfach den Speicher jedes Prozesses auslesen. Unter Windows geht es halt mit der genannten API.

Es ist mehr oder weniger unmöglich, dieses Problem auf Anwendungsebene zu lösen.

 

[Beitrag]

Ich nutze für Passwörter die Bitwarden-Browsererweiterung. Ich befürchte mal, dass es da dann auch so ist?

 

[Falc410]

@Falc410 bisher gibt es mWn. keinen solchen Exploit für KeePass, Bitwarden und Konsorten aber gute Frage, würde mich auch interessieren

KeePass muss zum ausfüllen das Passwort ebenfalls entschlüsseln und in die Zwischenablage kopieren. Dort könnte es ausgelesen werden, deswegen wird es nach wenigen Minuten wieder aus dem Speicher entfernt. Kann man konfigurieren, je nach Paranoid-Level 😁

 

[Lumiel]

Mich würde interessieren, wie Apple das auf ihrem Betriebssystem gelöst hat, mit Verwendung des iCloud-Schlüsselbundes und Safari. Ich kenne mich da leider gar nicht aus. Aber machen die da irgend etwas anders als der Rest? Von Safari unter Mac OS hab ich in diesem Zusammenhang bis jetzt noch nichts gelesen.

VG

 

[Spike S.]

Der Pessimist in mir hat nur auf diese Nachricht gewartet
Hatte mich von Anfang an gefragt wie das gehen kann, das Passwort vom Speicherplatz in Keepass oder Browser sicher in das Eingabefeld zu bekommen. Deshalb hat es mich immer gesträubt so etwas zu nutzen...
Komfortabel != Sicher

Das es auch Livedaten und Sessions im Browser betrifft ist natürlich bitter...

Ich sehe spontan aber auch eher das Betriebssystem in der Schuld, Programme brauchen einfach auch Speicher für sich allein. Wenn das OS dann alle anderen Programme hinein lässt, klingt das nach einer Tabledance Bar ohne Türsteher ^^
Andererseits kann man auch fragen, warum das nicht einfach verschlüsselt im Speicher liegt und erst im letzten Schritt vor dem Eingabefeld oder Weitergabe im HTTP Post entschlüsselt wird? Der Browser kann das doch selbst nochmal verschlüsseln, nachdem das durch den Nutzer schon mal entschlüsselt wurde.

 

[MiniM3]

Ich sehe das ähnlich wie Google.
Wenn jemand irgendwas auf dem Rechner installieren kann dann kann er auch einen Keylogger installieren der alles nach Hause sendet und muss erst gar nicht über den ram gehen.
Das ist höchstens für private pcs relevant die von mehreren Personen benutzt werden um private Daten zu speichern... Aber in dem Fall ist es eine Person dem man viel vertrauen entgegen bringt.