¿Puedo evitar que Internet Explorer almacene solicitudes de inicio de sesión en la memoria?

4

Con Internet Explorer 11, he podido iniciar sesión en las aplicaciones web HTTPS al proporcionar un nombre de usuario y contraseña y luego cerrar sesión. Mientras se ejecuta el proceso del navegador, puedo descargar la memoria del navegador (por ejemplo, utilizando WinHex ) y puedo ver el inicio de sesión Solicitud HTTP, incluido el nombre de usuario y la contraseña, en texto sin formato.

¿Hay algún ajuste de configuración dentro del navegador o un cambio que se pueda realizar en las aplicaciones web para evitar esto?

    
pregunta Matthew Murdoch 04.02.2016 - 14:40
fuente

2 respuestas

8

En una máquina con Windows, la inspección de la memoria del proceso de IE está limitada al usuario propietario y a los administradores. Si un atacante puede inspeccionar la memoria de su proceso de IE, entonces ese atacante ha tomado el control de su máquina y / o su cuenta, y ya está condenado.

Si la máquina está "compartida", entonces no hay una solución realmente buena: si una entidad hostil puede tomar el control de la máquina después de que haya terminado de usarla, el mismo atacante probablemente podría tomar el control de la máquina antes de comienzas a usarlo, y plantas un registrador de claves , en cuyo punto tu contraseña es tostada. Ninguna cantidad de cierre / reinicio le ahorrará. La conclusión es sombría pero ineludible: NO escriba las contraseñas (o algo secreto) en una máquina compartida.

Si está en un contexto en el que solo le temen a los atacantes que agarran la máquina después de su uso (el modelo de "robo de computadora portátil"), lo mejor que puede lograr es utilizar el disco completo. cifrado (hay varios productos para eso; algunas versiones de Windows ya incluyen uno llamado BitLocker ). Si tiene cuidado de apagar la máquina cuando no la está usando, o si le importa la detalles sobre el modo de suspensión / hibernación , entonces esto debería proteger sus datos, incluidas las piezas que persisten en la RAM.

Para los atacantes con poca competencia, simplemente podría asegurarse de que el proceso de IE esté muerto, cerrando las ventanas todas , pero esto no eliminaría necesariamente todos los rastros de los datos de la RAM. Es posible que sus contraseñas también se hayan escrito en el archivo de memoria virtual. El cifrado de disco completo es una solución más completa.

    
respondido por el Tom Leek 04.02.2016 - 19:52
fuente
-2

No, pero puede hacer un hash o cifrar la contraseña en el cliente antes de publicar en el servidor. JSEncrypt funciona bien para esto. En un mundo perfecto, Microsoft trataría esto a través de un paquete de servicio.

    
respondido por el user2368632 24.04.2018 - 17:03
fuente

Lea otras preguntas en las etiquetas