Pourquoi tous les gestionnaires de mots de passe sous forme d'extension pour navigateur web ne se valent pas ?

• Certains injectent leur interface utilisateur (tu sais, le bouton dans un formulaire qui permet de copier l'identifiant et le mdp) codée en JavaScript dans le contenu de chaque page web que tu visites, ce qui autorise ces dernières à dérober des mots de passe en contournant les sécurités mises en place par les navigateurs web ;
  
  
• D'autres communiquent avec leurs autres composants (genre la base arrière, le gestionnaire de mots de passe lui-même) sans authentifier le pair, ce qui permet aux sites web d'exécuter du code de leur choix genre lancer tel logiciel présent sur ta machine.

L'auteur considère que les gestionnaires de mots de passe mal codés cassent les bienfaits de la compartimentation : il y a plusieurs niveaux de privilèges dans un navigateur web, et les mauvaises extensions mettent nos secrets dans le niveau le plus faible.

C'est loin d'être théorique, l'auteur a émis plusieurs rapports de bugs concernant plusieurs gestionnaires de mots de passe.

On notera que les problèmes soulevés sont conceptuels / fondamentaux, ils concernent plusieurs extensions. Comment discerner celles concernées ? 1) affiche-t-elle une icône / un menu / autre dans le contenu des pages web ? 2) apparaît-elle dans l'onglet Sources de l'onglet Débogueur des outils de développement de Firefox ? Si oui à l'une de ces questions, alors l'extension est vulnérable.

J'utilise l'extension PassFF, frontal pour le gestionnaire de mots de passe Pass. Après vérification, elle est vulnérable à ce type d'attaques. Un autre frontal, l'extension browserpass, n'est pas vulnérable.

Via Aeris.