Il devient de plus en plus vrai que de nombreuses extensions de navigateur et plugins nécessitent l'accès à "toutes mes données" (dans Chrome et Firefox; je ne ferai aucun commentaire sur Internet Explorer).

Je me demande s'il est possible pour ces plugins et addons d'accéder à mes données bancaires (par exemple) lorsque je les visite, ou d'accéder aux données soumises via des formulaires.

Quelles sont les implications de sécurité des modules complémentaires?

Ce message s'applique uniquement à Firefox et Chromium / Google Chrome. Je ne peux pas commenter Internet Explorer, Opera ou les navigateurs mobiles. De plus, mes calculs plus bas pourraient être faux, mais l'idée de base est correcte.

Bien sûr, cela est possible, dans le cas de Firefox et Chrome / Chromium, peu probable.

Mes mots de passe (qui sont stockés dans le navigateur) sont-ils sûrs?

Cette réponse est l'une de mes préférées: cela dépend. Les mots de passe enregistrés par le navigateur doivent remplir une condition importante et, du point de vue de la sécurité, cauchemardesque: ils doivent être en texte clair ou réversibles en texte clair.

Texte clair vs crypté vs haché

Pourquoi est-ce mauvais? Eh bien, imaginez que quelqu'un s'introduise dans un serveur et vole la base de données de mots de passe. Il y a deux résultats possibles:

1. Les mots de passe sont en clair (ou facilement réversibles), de sorte que le pirate a désormais un accès complet à tous les comptes.
2. Les mots de passe sont hachés (ou chiffrés), une attaque par force brute contre les hachages serait nécessaire pour obtenir les mots de passe et accéder aux comptes. Même maintenant que votre nom d'utilisateur et votre mot de passe ont été volés, votre compte est toujours en sécurité.

Étant donné que le navigateur doit être en mesure d'envoyer le mot de passe aux sites Web, il ne peut pas hacher les mots de passe, il ne peut que les chiffrer (ou même les stocker sous forme de texte brut). C'est quelque chose qu'il faut toujours garder à l'esprit (il en va de même pour les clients de messagerie, les applications de chat, etc.).

Ce n'est pas parce qu'il est crypté qu'il est sûr

Firefox, par défaut, vous permet d'enregistrer des mots de passe. Il les crypte également . Il en va de même pour le chrome (voir addenda "Eh bien, cela dépend ..." ). Le problème est que la clé de déchiffrement est également stockée avec les mots de passe. Cela rend le cryptage un inconvénient mineur pour quelqu'un qui veut vos mots de passe et ne les arrête en aucune façon.

Alors ne stockez pas la clé avec les mots de passe!

C'est vrai, pour rendre les mots de passe plus sûrs , nous devons retirer la clé des mots de passe cryptés. Cela se fait dans Firefox en définissant un mot de passe principal , qui est ensuite utilisé pour crypter et décrypter tous vos mots de passe. En utilisant cette technique, vous séparez la clé des données chiffrées, ce qui est toujours une bonne idée (après tout, vous ne gardez pas votre clé de porte d'entrée sur un crochet devant votre porte à l'extérieur, non?).

Les mots de passe sont aussi sûrs que vous les faites

Alors, pourquoi ai-je dit plus tôt que vos mots de passe sont désormais plus sûrs et non sécurisés ? Parce que maintenant la sécurité de vos mots de passe dépend du mot de passe que vous avez choisi. Autrement dit, le mot de passe "asdf" ne doit en aucun cas être considéré comme sûr; ni "12345". Les bons mots de passe sont longs , car les forcer brutalement prend beaucoup de temps. Le mot de passe "VioletIsAnotherColor" est techniquement plus sûr que "D0! L4riZe" en raison de sa longueur, malgré le fait que le second contient des caractères spéciaux. Voyons cela brièvement.

"VioletIsAnotherColor"
Longueur: 20
Caractères possibles: 52 (26 minuscules + 26 majuscules)

"D0! L4riZe"
Longueur: 9
Caractères possibles: 77 (26 inférieurs + 26 supérieurs + 10 chiffres + 15 spéciaux)
Spéciaux :! " @ $% & / () =? * + # -

Alors, combien de tentatives avons-nous besoin pour briser ces mots de passe, connaissant leurs jeux de caractères et leur longueur?

"VioletIsAnotherColor"
52 ²⁰ = ~ 20 décillions (~ 2 × 10 ³⁴ )

"D0! L4riZe"
77 ⁹ = ~ 95 quadrillions (~ 9 × 10 ¹⁶ )

Comme nous le voyons, ce dernier mot de passe, malgré le jeu de caractères plus large, est plus facile à utiliser par force brute que le long avec son jeu limité. C'est à cause de la longueur. (Un autre avantage est que la première est plus facile à retenir.) Voir cette question de sécurité informatique pour plus de détails à ce sujet.

Donc, si possible, utilisez une phrase de passe, pas un mot de passe .

De retour sur le sujet, dans quelle mesure mes mots de passe sont-ils protégés d'un addon d'usurpation d'identité?

Ils ne sont pas. En effet, les modules complémentaires ont accès au site Web que vous venez de visiter. Ils peuvent en extraire des informations, y compris les mots de passe saisis. Les modules complémentaires constituent un risque pour la sécurité comme tout autre logiciel installé. Installez uniquement les modules complémentaires auxquels vous faites confiance.

Génial! Comment le sais-je?

Installez uniquement des modules complémentaires provenant de sources de confiance. Pour Firefox, c'est la page AddOns et pour Chromium, c'est le Chrome Web Store , ou si vous faites confiance à l'auteur / distributeur. Les deux garantissent que les AddOns sont vérifiés et sûrs.

Ni la page Mozilla AddOns ni le Chrome Web Store ne garantissent en aucune façon que l'addon est sûr. Ils utilisent des processus d'examen automatisés qui pourraient ou pourraient attraper des modules malveillants. En fin de compte, il reste un risque.

Installez addons de sources que vous faites confiance.

Attendez un moment; venez-vous de mentionner d'autres logiciels installés?

Bien sûr! Rien n'empêche les autres logiciels installés de récupérer vos mots de passe dans le navigateur, d'effectuer des attaques de type intermédiaire ou même de servir un proxy qui usurpe vos sites Web bancaires. Il en va de même pour les plug-ins de navigateur. La règle d'or est la suivante: n'installez pas de logiciel auquel vous ne pouvez pas faire confiance.

Conclusion

Que faut-il en retirer?

• N'installez jamais de logiciels / plugins / addons auxquels vous ne faites pas confiance.
• En cas de doute, définissez un mot de passe principal.
• En cas de doute, ne faites pas confiance à votre navigateur avec des mots de passe, ne les enregistrez jamais.
• Si encore dans le doute, ne jamais installer des addons / plugins.
• Si encore dans le doute, utilisez un système en direct , ce qui ne peut pas être falsifié.

Addendum: "Eh bien, cela dépend ..."

Comme je suis venu à apprendre, mes hypothèses dans ce paragraphe ne sont pas correctes à 100%, et je voudrais corriger cela. Les informations suivantes s'appliquent uniquement au stockage des mots de passe sur le disque.

Google Chrome / Chrome

En fait, il enregistre vos mots de passe de manière sécurisée sur le disque, selon le système d'exploitation sur lequel il s'exécute:

Microsoft Windows

L'API Microsoft Windows CryptProtectData/ CryptUnprotectDataest utilisée pour crypter / décrypter le mot de passe. Cette API fonctionne avec le mot de passe de votre compte OS, elle n'est donc aussi sûre que ce mot de passe.

MacOS

La couche pour MacOS génère une clé aléatoire basée sur le mot de passe du trousseau de l'utilisateur actuel et ajoute cette clé au trousseau. Encore une fois, cela est aussi sécurisé que le mot de passe de l'utilisateur.

Linux

Eh bien ... n'en parlons pas.

D'accord, si vous devez le savoir, il fait exactement ce que je supposais: il stocke les données avec un mot de passe codé en dur. pourquoi est-ce le cas? Tout simplement parce qu'il n'y a pas d' infrastructure commune en place pour gérer les données chiffrées d'une manière similaire aux deux autres systèmes. Non, je n'ai pas simplement dit que Linux manque de systèmes de cryptage ou de sécurité; il existe de nombreuses solutions de stockage de porte-clés / porte-clés et de mot de passe dans l'espace utilisateur . Il semble que les développeurs de Chrome aient décidé de ne pas en utiliser un. "Pourquoi?" n'est pas une question à laquelle je peux répondre.

Firefox

Utilise toujours une clé générée qui est stockée avec les mots de passe. L'exception est que si vous définissez un mot de passe principal, il sera également utilisé.