Votre navigateur stocke les mots de passe et les données sensibles

0 0

Votre navigateur stocke les mots de passe et les données sensibles en texte clair dans la mémoire

Selon Zeev Ben Porat, chercheur en sécurité chez CyberArk, votre navigateur Web peut stocker des données sensibles, notamment des noms d’utilisateur, des mots de passe et des cookies de session en texte clair.

données de cookie de mots de passe en texte clair chrome

La plupart des navigateurs Web basés sur Chromium semblent être affectés, y compris Google Chrome. Microsoft Edge a été testé pour la faiblesse et il en a également été affecté. Un test rapide sur un système Windows 11 local a confirmé que des navigateurs tels que Brave et le navigateur Web Firefox de Mozilla sont également affectés par le problème.

L’accès physique à la machine cible n’est pas requis, car l’accès à distance ou l’accès au logiciel qui s’exécute sur la machine cible est suffisant pour extraire les données. L’extraction peut être effectuée à partir de n’importe quel processus non élevé qui s’exécute sur la même machine.

S’il est nécessaire pour l’utilisateur de saisir des données d’identification telles que les noms d’utilisateur et les mots de passe avant de pouvoir les extraire, Zeev Ben Porat note qu’il est possible de « charger en mémoire tous les mots de passe qui sont stockés dans le gestionnaire de mots de passe ».

La sécurité de l’authentification à deux facteurs peut ne pas être suffisante pour protéger les comptes d’utilisateurs non plus, si les données des cookies de session sont également présentes en mémoire ; l’extraction des données peut conduire à des attaques de détournement de session utilisant les données.

Le chercheur en sécurité décrit plusieurs types différents de données d’identification en texte clair qui peuvent être extraites de la mémoire du navigateur.

  • Nom d’utilisateur + mot de passe utilisé lors de la connexion à une application Web ciblée
  • URL + Nom d’utilisateur + Mot de passe chargés automatiquement en mémoire au démarrage du navigateur
  • Tous les enregistrements d’URL + nom d’utilisateur + mot de passe stockés dans les données de connexion
  • Tous les cookies appartenant à une application Web spécifique (y compris les cookies de session) Test de vos navigateurs

Le problème a été signalé à Google et il a reçu rapidement le statut « ne sera pas corrigé ». La raison invoquée est que Chromium ne résoudra aucun problème lié aux attaques d’accès physique local.

Zeev Ben Porat publié un article de suivi sur le blog CyberArk, qui décrit les options d’atténuation et les différents types d’attaques pour exploiter le problème.

Comment tester vos navigateurs

Les utilisateurs de Windows peuvent utiliser l’outil gratuit Hacker de processus pour tester leurs navigateurs. Il suffit de télécharger la version portable du programme, d’extraire son archive et d’exécuter l’exécutable Process Hacker pour commencer.

Entrez un nom d’utilisateur, un mot de passe ou d’autres données sensibles dans le navigateur que vous souhaitez tester.

  1. Double-cliquez sur le processus du navigateur principal dans la liste des processus pour afficher les détails.
  2. Passez à l’onglet Mémoire.
  3. Activez le bouton Chaînes sur la page.
  4. Sélectionnez OK sur la page.
  5. Activez le bouton Filtrer dans la fenêtre qui s’ouvre et sélectionnez « contient » dans le menu contextuel.
  6. Tapez le mot de passe ou d’autres informations sensibles dans le champ « Entrez le modèle de filtre » et sélectionnez ok.
  7. Process Hacker renvoie les données si elles se trouvent dans la mémoire de processus.

Maintenant, c’est à votre tour: votre navigateur est-il concerné par cela ? Quelle est votre opinion sur la question? (passant par )

Laisser un commentaire

Votre adresse email ne sera pas publiée.

Abonnez-vous à notre newsletter
Inscrivez-vous ici pour recevoir les dernières nouvelles, mises à jour et offres spéciales directement dans votre boîte de réception.
Vous pouvez vous désabonner à tout moment

This website uses cookies to improve your experience. We'll assume you're ok with this, but you can opt-out if you wish. Accept Read More