Tài khoản X của International Cyber Digest đăng tải một lỗ hổng bảo mật khá nghiêm trọng của trình duyệt Edge khi nó để lộ toàn bộ thông tin đăng nhập (bao gồm username và mật khẩu) trong bộ nhớ tiến trình ngay khi khởi chạy, kể cả mật khẩu cho các site bạn chưa mở trong phiên đó. Nghiêm trọng hơn, nó ở dạng plaintext, tức là không có bất kì một phương thức mã hóa nào.
Cụ thể hơn thì khi bạn lưu mật khẩu vào trong Edge, từ lúc Edge khởi động, tất cả mật khẩu đó đều nằm sẵn trong RAM, ở dạng đọc được ngay, kể cả những site bạn không hề mở trong phiên đó.
Nhóm nghiên cứu của Palo Alto Networks Norway và researcher @L1v1ng0ffTh3L4N đã test các trình duyệt nhân Chromium khác và kết luận chỉ có Edge hoạt động theo kiểu “ôm sạch mật khẩu trong RAM” như vậy.
Với trình duyệt Chrome, nó sẽ chỉ giải mã mật khẩu khi cần dùng lúc autofill hoặc khi người dùng bấm xem mật khẩu trong UI, còn lại thì không để plaintext nằm sẵn trong RAM như Edge.
Lỗi bảo mật của Edge
Cụ thể hơn thì khi bạn lưu mật khẩu vào trong Edge, từ lúc Edge khởi động, tất cả mật khẩu đó đều nằm sẵn trong RAM, ở dạng đọc được ngay, kể cả những site bạn không hề mở trong phiên đó.
Nhóm nghiên cứu của Palo Alto Networks Norway và researcher @L1v1ng0ffTh3L4N đã test các trình duyệt nhân Chromium khác và kết luận chỉ có Edge hoạt động theo kiểu “ôm sạch mật khẩu trong RAM” như vậy.
Với trình duyệt Chrome, nó sẽ chỉ giải mã mật khẩu khi cần dùng lúc autofill hoặc khi người dùng bấm xem mật khẩu trong UI, còn lại thì không để plaintext nằm sẵn trong RAM như Edge.
Một mặt, Edge vẫn yêu cầu bạn xác thực (VD: nhập PIN, Windows Hello, mật khẩu hệ thống…) trước khi hiển thị mật khẩu trong giao diện Password Manager, mặt khác chính tiến trình Edge đã giữ toàn bộ mật khẩu ở dạng plaintext trong RAM.
Điều này có gì nguy hiểm?
Trên môi trường như terminal server / RDS, một tài khoản admin (hoặc admin đã bị compromise) có thể đọc bộ nhớ của các tiến trình Edge thuộc mọi user đang đăng nhập trên máy chủ đó.
Một video trong bài post trên X đã chứng minh rằng một admin đã trích xuất được mật khẩu đã lưu của hai người dùng khác, dù các phiên user đó đã disconnect nhưng Edge vẫn đang chạy. Vì vậy, chỉ cần một admin bị hack, toàn bộ mật khẩu của nhiều user dùng Edge trên cùng server có thể bị lộ sạch.
Trên GitHub đã có một tool để người dùng tự kiểm tra việc Edge lưu plaintext password trong RAM trên máy của mình hay không. Hoặc bạn có thể làm theo những bước bên dưới:
1. Mở Edge, không cần duyệt gì hết.
2. Mở Task Manager > ở tab Process > Tìm Edge > chọn Expand.
3. Chọn Browser > Click chuột phải > Chọn Create Memory Dump.
4. Nhìn trong file mới tạo sẽ thấy toàn bộ các credentials (bao gồm username, mật khẩu...).
Quảng cáo
Microsoft trả lời ra sao?
![[IMG]](https://photo2.tinhte.vn/data/attachment-files/2026/05/9014282_CleanShot_2026-05-06_at_14.11.142x.jpg)
Microsoft trả lời rất ngắn gọn: họ coi việc Edge giữ toàn bộ mật khẩu ở dạng plaintext trong RAM là hành vi “by design”, “intended behaviour”, tức là thiết kế cố ý, không phải lỗi cần sửa. Microsoft đã có bài blog nói về cách Microsoft Edge lưu trữ mật khẩu. Tuy nhiên, trong đó Microsoft thừa nhận rằng mật khẩu của người dùng lưu ở dạng “plaintext”.
Mật khẩu, thẻ tín dụng, cookie được lưu mã hóa trên ổ đĩa bằng AES; khóa mã hóa được giữ trong kho bảo mật của hệ điều hành (DPAPI trên Windows, Keychain trên macOS/iOS, Gnome Keyring/KWallet trên Linux, giải pháp riêng trên Android). Dữ liệu chỉ được giải mã khi người dùng đã đăng nhập hệ điều hành, kẻ tấn công không thể lấy mật khẩu dạng “plaintext” nếu người dùng đó chưa đăng nhập, trừ khi có mật khẩu đăng nhập hoặc đã chiếm được domain controller.
Ngay bây giờ bạn nên làm gì?
Nếu bạn lưu trữ mật khẩu trong Edge và sợ bị lộ hoặc bị tấn công thì nên chuyển sang một phần mềm lưu trữ mật khẩu khác. Hiện tại có nhiều ứng dụng lưu trữ mật khẩu để bạn có thể dùng với nhiều nền tảng khác nhau: Android, iOS, Windows hay kể cả macOS.
Hôm qua mới làm cái khảo sát xem anh em dùng trình duyệt nào trên máy tính thì số lượng dùng Edge khá nhiều đó, có anh em nào đang lưu trữ mật khẩu trên trình duyệt không??
Sau 6 năm dùng Dashlane để quản lý mật khẩu, mình đã chuyển qua 1Password
Mình đã dùng Dashlane được 6 năm nay, nhưng sau khi Dashlane thay đổi chính sách về giá đăng ký thuê bao và ép người dùng phải đăng ký theo năm, mình đã chuyển sang 1Password, nền tảng quản lý mật khẩu cũng rất mạnh mẽ và rất nổi tiếng khác. Có...
tinhte.vn
Giữa Microsoft Edge và Google Chrome, anh em chọn trình duyệt nào?
Giữa Microsoft Edge và Google Chrome, anh em chọn trình duyệt nào?
Mình muốn làm cái khảo sát nho nhỏ với anh em Tinh tế xem anh em đang dùng trình duyệt nào làm trình duyệt chính. Anh em có thể chia sẻ lí do bên dưới bình luận.
Hoặc nếu anh em...
tinhte.vn
Quảng cáo
