Edge驚爆密碼明文外洩危機！微軟嘴硬不認帳，私下卻默默修復

先前有資安研究人員踢爆，微軟 Edge 瀏覽器在啟動時，會將所有儲存的帳號密碼以「明文」形式直接載入記憶體中，引發安全疑慮。然而，微軟官方起初並不將此視為漏洞，更拒絕發放抓漏獎金。儘管微軟嘴上不認帳，但身體卻很誠實，近期仍默默宣布將在後續版本中修復此問題，加強深度防禦機制。

記憶體明文惹議，微軟與 Google 的「威脅模型」盲點

這起事件的吹哨者，資安研究員 Tom Jøran Sønstebyseter Rønning 在得不到微軟官方的正面回應後，決定將這項安全缺陷公諸於世。

事實上，類似的錯誤 Google 過去也曾犯過。微軟與 Google 的核心資安邏輯如出一轍：他們認為，當駭客有能力在本地端執行惡意軟體並讀取記憶體數據時，代表設備本身的最高管理權限早已淪陷。在這種「整台電腦都被控制」的極端情況下，瀏覽器層級的防護根本無能為力。

基於上述的「威脅模型（Threat Model）」，微軟明確指出，需要提升權限才能執行的本地端惡意攻擊，原本就不在密碼管理員的防護考量範圍內。微軟強調，駭客並非透過瀏覽器本身的漏洞直接竊取數據，因此從瀏覽器的架構設計來看，這項機制並沒有任何實質錯誤。這也是為什麼微軟在第一時間選擇忽略該份報告，並認定這不符合發放漏洞獎金的標準。