Microsoft ha anunciado una mejora de seguridad relevante en su navegador Edge, eliminando la carga de contraseñas guardadas en la memoria de procesos al iniciar. Este cambio forma parte de la Secure Future Initiative (SFI), una estrategia destinada a reforzar las protecciones de defensa en profundidad en todos sus productos.

Microsoft ha anunciado una mejora de seguridad significativa en su navegador Edge, eliminando la práctica de cargar las contraseñas guardadas en la memoria del proceso al iniciar.

El cambio se produce como parte de la iniciativa más amplia de la compañía, la Secure Future Initiative (SFI), que tiene como objetivo reforzar las protecciones de defensa en profundidad en todos sus productos.

La actualización llega tras una revelación pública del investigador de seguridad Tom Jøran Sønstebyseter Rønning, quien descubrió que Microsoft Edge cargaba las contraseñas almacenadas en la memoria en texto plano durante el inicio del navegador.

Aunque Microsoft reconoció el hallazgo, aclaró que este comportamiento se ajustaba a su modelo de amenazas existente y no introducía una nueva vulnerabilidad de seguridad.

Según Microsoft, el escenario reportado asume que un atacante ya tiene el control del dispositivo de la víctima.

En tales casos, donde el código malicioso puede ejecutarse localmente con privilegios elevados, los navegadores y otras aplicaciones generalmente no pueden evitar el acceso a las credenciales.

Edge detiene la memoria de contraseñas

Esta limitación es común en todos los navegadores modernos y se considera fuera del alcance de los modelos de amenazas estándar de los navegadores.

A pesar de esto, Microsoft enfatizó que reducir la exposición innecesaria de datos sensibles sigue siendo una prioridad.

Como resultado, la empresa ha implementado una mejora de defensa en profundidad para evitar que las contraseñas se carguen en la memoria durante el inicio.

“Este cambio es un paso proactivo para minimizar las superficies de ataque potenciales, incluso en escenarios que quedan fuera de nuestros límites de seguridad definidos”, afirmó Microsoft.

La corrección ya se ha implementado en las versiones Canary de Edge y se desplegará en todas las versiones compatibles, incluidos los canales Stable, Beta, Dev y Extended Stable.

La actualización de Microsoft Edge 148 llega automáticamente sin que tú tengas que realizar ninguna acción.

Microsoft te aseguró que no hay ninguna exposición nueva ni un aumento del riesgo asociado con el comportamiento reportado anteriormente.

La compañía reiteró que el acceso a las credenciales en memoria solo sería posible si un atacante ya hubiera comprometido el sistema en una etapa avanzada de intrusión, más allá de las protecciones típicas a nivel de navegador.

Además de este cambio, Microsoft destacó su inversión continua en mecanismos de seguridad por capas.

Estos incluyen tecnologías de sandboxing, aislamiento del renderizador y defensas proactivas como el Bloqueador de Scareware, que te ayuda a protegerte de sitios web maliciosos.

La empresa también reconoció la importancia de la comunidad de investigación de seguridad. Indicó que está revisando sus procesos internos para el manejo de informes de vulnerabilidades.

Microsoft planea mejorar la velocidad de respuesta, la claridad de la comunicación y la integración de las consideraciones de defensa en profundidad en una etapa más temprana del proceso de evaluación.

Este movimiento refleja una tendencia más amplia de la industria hacia el endurecimiento del software contra ataques complejos y multiestapa.

Al limitar cómo y cuándo se exponen en la memoria los datos sensibles, como las contraseñas, Microsoft Edge pretende reducir el riesgo de robo de credenciales, incluso en escenarios extremos.