마이크로소프트 엣지(Microsoft Edge) 브라우저의 저장 암호 기능이 사용자 암호를 메모리에 평문 상태로 유지한다는 사실이 알려지며 보안 논란이 되고 있다.
이번 문제는 노르웨이 보안 연구자인 톰 요란 쇤스테비세테르 뢴닝(Tom Jøran Sønstebyseter Rønning)이 공개하면서 알려졌다. 공개된 내용에 따르면 엣지는 브라우저 실행 시 저장된 모든 계정 암호를 한 번에 복호화해 프로세스 메모리에 적재하며, 실제로 해당 사이트에 접속하지 않아도 메모리에 평문 상태로 유지하는 것으로 전해졌다.
연구자는 자신이 테스트한 크로미움 기반 브라우저 가운데 엣지만 이러한 동작 방식을 사용한다며, 구글 크롬은 사용자가 자동 완성이나 암호 확인 기능을 실제 호출할 때만 필요한 암호를 복호화하고, App-Bound Encryption을 통해 암호 복호화 키를 브라우저 프로세스와 연결해 외부 프로그램 접근을 제한한다고 첨언했다.
연구자는 엣지의 이러한 암호 관리 방식이 터미널 서버나 원격 데스크톱, 다중 사용자 환경에서 위험성이 커질 수 있다고 지적했다. 공격자가 관리자 권한을 확보할 경우 메모리 덤프를 통해 로그인 중인 사용자들의 저장 암호를 추출할 수 있다는 설명이다. 실제로 일부 보안 연구자들은 작업 관리자에서 메모리 덤프를 생성한 뒤 저장 암호를 확인할 수 있는 사례도 공개했다.
다만 마이크로소프트는 이를 보안 취약점으로 보지 않는다는 입장이다. 회사 측은 관련 외신 문의에 대해 브라우저 데이터 접근이 가능하려면 시스템 자체가 이미 침해된 상태여야 한다며, 엣지 브라우저의 암호 관리 정책은 성능과 사용성, 보안 사이 균형을 고려한 설계라고 설명했다.
마이크로소프트의 입장에 따르면 당분간 엣지 브라우저의 암호 관리 정책은 현재 방식이 유지될 것으로 보이며, 이에 따라 보안 업계에서는 엣지 내장 암호 저장 기능 대신 별도의 암호 관리 프로그램 사용이나 2단계 인증(2FA), 패스키 활용 등을 권장하고 있다. |
