【戦慄】Microsoft Edge、起動するだけで保存パスワードが「丸見え」に…セキュリティ研究者が危険な仕様を指摘
Microsoft Edgeの保存パスワードを巡り、かなり嫌な仕様が報じられている。Edgeは起動時点で保存済みの認証情報を複合化し、平文のままメモリ上に保持していると指摘された。問題は、ログイン画面を開いていないサイトの分まで展開される点で、再認証の安心感とずれがある。
Edge起動だけで全パスワードがメモリ上に展開
報告によると、Edgeはブラウザを起動した時点で、保存されている認証情報（ユーザー名とパスワード）をまとめて複合化し、平文の状態でメモリ上に保持する。つまり、たとえユーザーが一度もログインしていないサイトの分まで、起動した瞬間からメモリに展開されている。通常のChromium系ブラウザが、必要になった都度に認証情報を複合化する実装と比べると、Edgeだけが異なる挙動を示している。
Microsoft側は「仕様です」と説明したとされるが、その説明では安心できない。外部から一発突破できる話ではないものの、何らかの形でPCが侵害済みだった場合や、共有PC・業務端末では被害範囲が大きく広がる。単体のエクスプロイトではない点は正しく認識する必要があるが、侵害後の2次被害を広げる設計はセキュリティ上望ましくない。
なぜChromium系と挙動が違うのか
EdgeはChromiumベースでありながら、同じエンジンを採用するChromeとは認証情報の扱いが異なるという指摘は、ユーザーからも疑問の声が出ている。「クロミウム系で一致するなら、なぜそうしたのか説明が欲しい」という声や、「仕様ですで済む話じゃない」という厳しい反応が相次いだ。特に「仕様です」という説明が「直す気がない」という意味に取られる状況は、Microsoftのブラウザへの信頼をさらに削る。
また、表示ボタンを押したときの再認証は存在するが、肝心のメモリ上の扱いが平文展開というのは、その再認証の意味合いを弱める。「最認証を求めているのに、裏では平文でほじくっている」という感覚に、ユーザーの不安が集中している。
パスワードマネージャーへの移行が加速
このニュースを受けて、ブラウザのパスワード保存機能に依存するリスクを再認識する動きが広がっている。「Edgeの便利さより信用の方が削られる」「会社PCでブラウザ保存に頼っている人は背筋が冷える」といった声が上がり、専用のパスワード管理アプリへ移行する流れが再び強まると見られている。
特に家族で共有するPCや業務端末では、保存パスワードの使い回しをしている人は見直しの対象だ。EdgeのようなブラウザはOSに深く統合されており、アンインストール自体が難しい。使うか使わないかの選択に加え、保存先そのものをブラウザ任せにしない選択肢を検討する必要がある。
ネットの反応
仕様ですじゃなくて修正せいよ。
たとえとしては「屋内に入られてる段階でアウトだから金庫は不要」ってことか。もってけ泥棒スタンスw
Microsoft Edgeを使わなければおk。
だいたい大丈夫だろうけど、悪意ある拡張とかを自分で入れてたら…。
いかにも「AIに書かせました」って感じの穴だなぁ。
エッジなんか使ってねぇよ！それどころか一刻も早く消してぇのに、OSの仕様上消せねぇのが気に食わねぇわ！
利用者にとって仕様であるか否かは関係なく、便利か不便か、安全か危険かが全て。
なぜChromiumと挙動が違うのか、みたいな話はあるけれども、他のプロセスのメモリを覗かれるような状態なら、もうEdgeだろうがChromeだろうが関係ないよ。何でもやりたい放題だよ。
メインで使っていてカード情報やらお金に関わるものをブラウザに保存自体しないんでw
ブラウザの暗号保存機能に標準化仕様なんてあった？特殊な環境下での話をさも重大そうに扱うのは何故？
ネット証券また抜かれる？
仕様で済む話じゃないわ。
修正したら暗号化後の文字列をストレートに入れて弾かれるまでが見えた。それがMSのクソオペ。
AIの所感
このニュースの本質は「起動時一括複合化」という実装選択のリスクにある。Edgeがログインしていないサイトの認証情報まで平文でメモリに展開するのは、侵入後の横展開（credential dumping）を容易にする。単独の脆弱性というより、設計上の前提（「OSログインユーザーは信用できる」）が、侵害済み端末や共有PCという現実の脅威モデルとずれていることを示す。
「仕様です」というMicrosoftの説明が逆に不安を煽ったのは、事実を説明したのではなく、セキュリティ上の設計判断を正当化しただけだったからだ。他のChromium系ブラウザが逐次複合化している以上、「なぜ必要な時だけ複合化しないのか」という問いに答える必要がある。利便性のためのバッチ展開が、セキュリティ要件を上回ってはいけない。
実務的な結論は明快だ。ブラウザはパスワードの保管庫にすべきではない。専用のパスワードマネージャー（マスターパスワードで保護される独立プロセス）を使い、ブラウザには最小限の認証情報だけを渡す。特に共有PCや業務端末では、ブラウザ保存に依存するのはリスク管理の放棄に等しい。侵害された後の2次被害を小さくする「最小特権」の原則こそが、今回のニュースが突きつける教訓である。