كيف يكشف متصفح Edge كلمات مرورك السرية بسهولة؟

في المشهد التقني المتسارع الذي نعيشه اليوم، أصبحت حماية البيانات الشخصية وحماية الهوية الرقمية من أهم الأولويات للمستخدمين والشركات على حد سواء. نعتمد يومياً على العشرات من المنصات والمواقع التي تتطلب بيانات تسجيل دخول معقدة، مما جعل الاعتماد على أدوات إدارة كلمات المرور (Password Managers) أمراً شبه حتمي. وبناءً على ذلك، سارعت الشركات الكبرى المطورة لمتصفحات الويب بدمج هذه الأدوات مباشرة داخل متصفحاتها لتسهيل تجربة المستخدم.

واحدة من أكبر الشركات الرائدة في هذا المجال هي شركة مايكروسوفت (Microsoft)، التي تمتلك متصفحها الشهير Microsoft Edge. بالنظر إلى القيمة السوقية الضخمة للشركة والموارد الهائلة المتاحة لها، يتوقع المستخدم العادي أن يوفر هذا المتصفح مستوى أمان من الدرجة الأولى (Top-notch security). ولكن، كشفت الأبحاث والتجارب التقنية الحديثة عن ثغرة أمنية خطيرة تتعلق بكيفية تعامل هذا المتصفح مع كلمات المرور المحفوظة، حيث يتم تخزينها بطريقة غير آمنة تماماً، مما يضع بيانات ملايين المستخدمين في خطر محدق.

كيف تعمل أدوات إدارة كلمات المرور (Password Managers) الآمنة؟

لفهم حجم المشكلة التقنية في متصفح إيدج، يجب أولاً أن نفهم الآلية الصحيحة والمتبعة عالمياً في بناء أي مدير لكلمات المرور. الهدف الأساسي من هذه الأدوات هو إعفاء المستخدم من حفظ العشرات من كلمات المرور المعقدة، واستبدالها بكلمة مرور رئيسية واحدة (Master Password) تفتح قبو التخزين (Vault) الذي يحتوي على باقي البيانات.

آلية التشفير وفك التشفير القياسية (Encryption and Decryption)

في الأنظمة المتوافقة مع معايير الأمان الحديثة، يجب أن تظل كلمات المرور دائماً في حالة مشفرة (Encrypted State) طوال فترة تخزينها على القرص الصلب (Hard Drive). وعندما يحتاج المستخدم إلى تسجيل الدخول إلى موقع معين، تحدث العملية المعقدة التالية في أجزاء من الثانية:

1. يقوم النظام بطلب المصادقة من المستخدم لضمان هويته.
2. يتم فك تشفير (Decryption) كلمة المرور المطلوبة فقط، ونقلها إلى ذاكرة الوصول العشوائي (RAM).
3. تبقى كلمة المرور في الذاكرة لفترة زمنية قصيرة جداً لا تتعدى ثوانٍ معدودة حتى يتم استخدامها في حقل تسجيل الدخول.
4. بمجرد الانتهاء من عملية الإدخال، يتم محو البيانات بشكل فوري وكامل من الذاكرة الحية (Memory Purging).

هذا المعيار المتبع عالمياً يضمن أنه حتى في حالة تمكن برمجيات خبيثة من الوصول إلى جهاز الضحية وقراءة محتويات الذاكرة، فإنها لن تجد سوى بيانات مشفرة وعشوائية لا يمكن الاستفادة منها. لمعرفة المزيد حول معايير تخزين البيانات الحساسة، يمكنك الاطلاع على إرشادات منظمة OWASP العالمية لأمن المعلومات.

الكارثة الأمنية: تخزين البيانات بصيغة نص عادي (Plain Text) في Microsoft Edge

هنا تكمن المشكلة الكبرى التي تفشل فيها مايكروسوفت بشكل ذريع. على عكس المعايير الأمنية التي تم شرحها، تبين أن متصفح Microsoft Edge يقوم بوضع كلمات المرور الخاصة بك داخل الذاكرة بصيغة نص عادي (Plain Text) يمكن قراءته بسهولة بالغة وبدون أي نوع من أنواع التشفير.

تخزين البيانات الحساسة على هيئة نص عادي يُعتبر من أكبر الكبائر في عالم أمن المعلومات (Cybersecurity). هذا يعني أن كلمة المرور المعقدة التي استخدمت فيها رموزاً وأرقاماً وحروفاً كبيرة وصغيرة لحمايتها من الاختراق، تقبع الآن مكشوفة تماماً داخل ذاكرة حاسوبك، وتنتظر أي برنامج أو مخترق يمتلك صلاحيات قراءة الذاكرة ليقوم بالتقاطها واستخدامها ضدك.

التجربة العملية: كيف تم فضح ثغرة ذاكرة Microsoft Edge؟

Microsoft Edge loads all your saved passwords into memory in cleartext — even when you’re not using them. pic.twitter.com/ci0ZLEYFLB

— Tom Jøran Sønstebyseter Rønning (@L1v1ng0ffTh3L4N) May 4, 2026

لم يكن هذا الاكتشاف مجرد تنظير تقني، بل تم إثباته من خلال تجربة عملية قابلة للتكرار. قام أحد الباحثين الأمنيين (يُدعى Tom على منصة X) بإجراء اختبار بسيط ولكنه حاسم، والذي كشف بوضوح عن هذا الخلل الأمني الفادح. وقد تضمنت خطوات إثبات الثغرة (Proof of Concept) ما يلي:

• إنشاء حساب اختباري: قام الباحث بإنشاء حساب جديد على أحد المواقع واستخدم كلمة مرور محددة، ثم طلب من متصفح Edge حفظ هذه الكلمة.
• المصادقة الوهمية: لكي يعرض المتصفح كلمة المرور في الإعدادات، طلب المصادقة عبر (Windows Hello)، مما يعطي المستخدم انطباعاً زائفاً بأن بياناته محمية بقوة ولا يمكن الوصول إليها إلا عبر البصمة الحيوية أو رمز المرور الشخصي.
• إعادة تشغيل المتصفح: للتأكد من عدم وجود بيانات مؤقتة، تم إغلاق المتصفح بالكامل وإعادة تشغيله من جديد، حيث تم فتح صفحة البداية فقط دون الدخول لأي موقع.
• تفريغ الذاكرة (Memory Dump): باستخدام أداة مدير المهام (Task Manager) المدمجة في الويندوز، قام الباحث بإنشاء ملف تفريغ لذاكرة المتصفح، والذي بلغ حجمه حوالي 670 ميجابايت وتم حفظه على القرص الصلب.
• البحث والتحليل العكسي: باستخدام برنامج محرر عشري (Hex Editor) بسيط، قام الباحث بالبحث عن النص الدقيق لكلمة المرور التي أنشأها، والمفاجأة كانت العثور على كلمة المرور كاملة بصيغة نص عادي داخل تفريغ الذاكرة، رغم أنه لم يقم باستخدامها أو طلب فك تشفيرها في تلك الجلسة!

موقف شركة مايكروسوفت (Microsoft): قرار تصميم متعمد أم إهمال؟

عندما يتم اكتشاف ثغرة أمنية (Vulnerability) بهذا الحجم في منتج يستخدمه مئات الملايين حول العالم، فإن التوقع الطبيعي هو أن تسارع الشركة المطورة لإصدار تصحيح أمني طارئ (Hotfix) للاعتذار ومعالجة المشكلة. ولكن رد فعل شركة مايكروسوفت كان صادماً للعديد من خبراء التقنية.

وفقاً للتسريبات الموثقة، جاء رد مايكروسوفت الرسمي على الباحث الأمني ليؤكد أن هذه الآلية في حفظ البيانات ليست خطأً برمجياً غير مقصود (Bug)، بل هي قرار تصميم متعمد (Conscious design decision). هذا الرد يطرح تساؤلات خطيرة حول أولويات الشركة؛ فهل تضحي مايكروسوفت بأمن المستخدمين من أجل تحسين سرعة الأداء والاستجابة في المتصفح؟ لقد أكد خبراء أمن المعلومات أن ترك البيانات الحساسة في الذاكرة الحية (Process Memory) لم يعد مقبولاً في الصناعة منذ سنوات طويلة، ويعتبر استخداماً لتكنولوجيا قديمة وعفا عليها الزمن.

مقارنة بين متصفح Edge و Google Chrome وبقية متصفحات Chromium

من الأمور التي تزيد من حدة الانتقادات الموجهة لمتصفح مايكروسوفت، هو حقيقة أنه مبني في الأساس على نواة Chromium مفتوحة المصدر، وهي نفس النواة التي يعتمد عليها متصفح جوجل كروم (Google Chrome) ومجموعة من المتصفحات الأخرى مثل Brave و Opera.

تقنية التشفير المرتبط بالتطبيق (App-Bound Encryption)

أثبتت الاختبارات المستقلة أن المتصفحات الأخرى المبنية على نواة Chromium لا تعاني من هذه المشكلة. على سبيل المثال، يتبنى متصفح Google Chrome بنية تصميمية تجعل من الصعب جداً على المهاجمين استخراج كلمات المرور، وذلك من خلال تطبيق الطبقات الأمنية التالية:

• لا يقوم متصفح كروم بفك تشفير البيانات (Credentials) إلا عند الحاجة الفعلية والقصوى وفي وقت الاستخدام فقط.
• يعتمد المتصفح على تقنية متطورة تُعرف باسم التشفير المرتبط بالتطبيق (App-bound encryption) كطبقة حماية ثانوية.
• هذه التقنية تضمن ربط عملية فك التشفير بعملية (Process) موثقة ومعتمدة خاصة بمتصفح كروم فقط، مما يمنع أي برامج أو عمليات أخرى على نظام التشغيل من سرقة وإعادة استخدام مفاتيح التشفير الخاصة بالمتصفح.

لذلك، يظهر هنا الفارق الواضح بين نهج شركة تعطي الأولوية لحماية مساحة الذاكرة، وشركة أخرى تسمح بظهور البيانات مكشوفة في الذاكرة دون مبرر أمني مقنع.

المخاطر الأمنية الفعلية المترتبة على هذه الثغرة

قد يتساءل البعض: "بما أن المتسلل يحتاج إلى الوصول لجهازي لعمل تفريغ للذاكرة، فما هي الخطورة الفعلية؟". الإجابة تكمن في طبيعة الهجمات السيبرانية (Cyber Attacks) الحديثة. مجرمو الإنترنت لم يعودوا بحاجة إلى الوصول الفيزيائي لجهازك.

في الوقت الحاضر، تنتشر برمجيات خبيثة متخصصة تُعرف باسم سارقي المعلومات (InfoStealers). بمجرد أن يصاب جهازك بواحد من هذه الفيروسات عبر تحميل ملف مشبوه أو النقر على رابط خبيث، تقوم البرمجية بالعمل في الخلفية بصمت. من أهم وظائف هذه البرمجيات هو عمل مسح مستمر (Scraping) للذاكرة العشوائية (RAM) بحثاً عن أي نصوص تشبه كلمات المرور أو بطاقات الائتمان، ومن ثم إرسالها فوراً إلى خوادم المخترقين عبر الإنترنت. بقاء كلمات المرور بصيغة نص عادي يجعل من جهازك صيداً سهلاً ومثالياً لهذه البرمجيات الخبيثة.

أفضل البدائل الآمنة لحفظ كلمات المرور وإدارتها

بناءً على المعطيات الفنية والتجارب الأمنية، فإن الاستمرار في استخدام مدير كلمات المرور المدمج في Microsoft Edge يُعد مجازفة غير محسوبة العواقب. الخطوة الأكثر أماناً وحكمة هي الانتقال إلى استخدام تطبيقات متخصصة في إدارة كلمات المرور التابعة لجهات خارجية موثوقة.

هذه التطبيقات (مثل Bitwarden، و 1Password، و Dashlane) تم بناؤها من الصفر مع التركيز الحصري على الأمن والتشفير القوي (AES-256 Bit Encryption). كما أنها تعتمد على بنية المعرفة الصفرية (Zero-Knowledge Architecture)، مما يعني أن الشركة المطورة نفسها لا تستطيع الوصول إلى كلمات المرور الخاصة بك، وكل عمليات التشفير وفك التشفير تتم محلياً وبشكل آمن تماماً، مع إدارة صارمة للذاكرة لمنع تسريب أي بيانات.

خطوات عملية: كيفية تعطيل مدير كلمات المرور في Microsoft Edge

لحماية نفسك فوراً، يوصى بشدة بتعطيل هذه الميزة داخل متصفحك والانتقال للبدائل الآمنة. إليك الخطوات البسيطة للقيام بذلك:

1. قم بفتح متصفح Microsoft Edge وانقر على النقاط الثلاث في الزاوية العلوية اليمنى، ثم اختر "الإعدادات" (Settings).
2. من القائمة الجانبية، اختر "الملفات الشخصية" (Profiles) ثم انقر على "كلمات المرور" (Passwords).
3. قم بإيقاف تفعيل خيار "عرض حفظ كلمات المرور" (Offer to save passwords).
4. ينصح بشدة بتصدير كلمات مرورك الحالية إلى مدير كلمات مرور خارجي آمن، ثم حذفها بالكامل من سجلات المتصفح.

التوصيات الأمنية النهائية للمستخدمين

إن أمن المعلومات ليس حالة ثابتة، بل هو سباق مستمر بين الشركات والمخترقين. إن اعتماد متصفح مثل Microsoft Edge على تكنولوجيا قديمة وغير آمنة لتخزين كلمات المرور بصيغة نص عادي في الذاكرة العشوائية يعرض ملايين المستخدمين لمخاطر اختراق حساباتهم البنكية والشخصية. لا تنخدع بشاشات المصادقة الوهمية مثل Windows Hello التي تخفي وراءها بنية تحتية هشة. الخيار الأفضل دوماً هو توزيع المخاطر، وعدم وضع كل الثقة في المتصفح، بل استخدام أدوات احترافية ومستقلة لتأمين بياناتك وهويتك الرقمية في عالم مليء بالتهديدات.