Comme l’ont souligné plusieurs conférences du SSTIC, la sécurité des navigateurs web les plus utilisés est catastrophique. Je ne parle même pas d’internet explorer, le sujet a été exploré de multiples fois. Firefox n’est pas en reste : les worms, bankers et derniers virus en tous genre commencent à le gérer, ce qui souligne bien qu’il est vulnérable, d’une manière ou d’une autre à des attaques (cf la conférence du SSTIC sur Anserin).

Certaines recherches (EDIT : et la pratique) ont montré que Firefox est extrêmement perméable à des attaques visant l’utilisateur final : il est possible d’installer des extensions “fantômes”, c’est à dire que l’utilisateur de firefox n’a aucun moyen de détecter qu’une extension a été installée : aucune confirmation n’est demandée, l’extension n’apparaît pas dans la liste…

Par ailleurs, les extensions Firefox ne sont aucunement bridées : il s’agit de code qui tourne avec les privilèges système de l’utilisateur qui a lancé firefox, ni plus ni moins : une extension peut donc modifier à la volée les pages web avant affichage, envoyer des données confidentielles sur un canal caché, par exemple.

Le tableau n’est donc pas brillant, et les “protections” positionnées par certains sites web sensibles (comme celui de votre banque) ne sont pas de nature à [me] rassurer, puisque, bien sûr, éminement contournables!

Les mesures que je m’auto-préconise sont donc désormais :

– Rester en veille pour voir peut-être un jour l’émergence d’un navigateur conçu dès le départ pour être sécurisé

– Dans l’immédiat, utiliser des navigateurs alternatifs “spécialisés” pour les tâches sensibles. On peut citer, parmi d’autres, Konqueror, epiphany. Avec un peu de chance, ces navigateurs sont trop peu utilisés pour être ciblés par les auteurs de malware (en tous cas, de malware de masse…). Bien que je n’aie pas spécialement plus confiance dans leur design (parfois très proche de firefox d’ailleurs…), j’espère tomber dans une “niche”.

– Dans le même registre, mais de manière un peu plus stricte, s’appuyer sur la sécurité et le système de privilèges sous-jacent : créer des utilisateurs systèmes dédiés à mes tâches “sécurisée” comme payer mes impôts, me connecter sur le site de ma banque… Peut-être un système à trois niveaux pourrait-il se révéler intéressant :

• un compte utilisateur pour le surf en zone non maîtrisée, dont je nettoyerais le profil à chaque démarrage du navigateur
• un compte pour surfer sur les sites dont j’ai l’habitude, mais auxquels je n’accorde pas une grande confiance, dont j’auditerais la configuration aussi souvent que possible. Cette approche est cependant très limitée du fait de la mode du web 2.0… les sites web intègrent des “contenus” venant de leurs utilisateurs ou d’autres sites web…
• enfin, un compte pour les applications sensibles. Avec la même restriction que ci-dessus, mais je me permets d’espérer que les administrateurs du site web de ma banque garderont la clairvoyance de ne pas passer leurs applications en Web 2.0…

– Utiliser des extensions pour améliorer la sécurité de Firefox, comme NoScript. Mais je reste persuadé que cela revient à appliquer des emplâtres sur une jambe de bois.

– Essayer d’auditer régulièrement la configuration de Firefox de chaque utilisateur de mes systèmes, et notamment les extensions installées/activées. J’en dirai un peu plus à ce sujet prochainement car j’ai des choses sur le feu …