La plupart des gestionnaires de mots de passe populaires présentent des vulnérabilités pouvant entraîner le vol de mots de passe,
Selon un rapport

Le , par Bill Fassinou

166PARTAGES

14  1 
Les connexions en ligne sont devenues de plus en plus nombreuses depuis les années 2010 notamment avec l’avènement des réseaux sociaux, de certains services en lignes (abonnement à un site de news, compte d’achats sur les sites e-commerce, etc.) et également de l’IoT. Chaque personne veut être présente sur au moins quelques-uns de ses réseaux et pouvoir profiter de certains services pour la plupart gratuits. Les nombreux services en ligne encouragent les utilisateurs à ne pas utiliser le même mot de passe partout. C’est là qu’interviennent les gestionnaires de mots de passe pour aider les utilisateurs à garder tous les mots de passe dont ils disposent de façon centralisée avec une couche de sécurité (ajout de métadonnées, et bien d’autres). Les gestionnaires de mots de passe permettent le stockage et la récupération d'informations sensibles à partir d'une base de données cryptée.

Les utilisateurs comptent sur eux pour leur offrir de meilleures garanties de sécurité contre les exfiltrations insignifiantes par rapport aux autres moyens de stockage des mots de passe tels que les fichiers texte non sécurisés. Autrement dit, les gestionnaires de mots de passe permettent de conserver à un seul et même endroit la totalité de vos mots de passe utilisés sur Internet. Ils sont donc très utiles. Cela dit, un groupe d’évaluateurs en sécurité indépendants, ISE, a présenté cette semaine un rapport selon lequel les gestionnaires de mots de passe les plus populaires notamment sur Windows 10 disposent de quelques vulnérabilités qui pourraient être exploitées pour voler les informations d’identité des utilisateurs, en supposant qu’elles n’ont pas déjà été exploitées par des tiers. Cependant, rappellent-ils, cela ne veut pas du tout dire que vous devez abandonner votre gestionnaire de mots passe, puisqu’il vous sera très difficile de vous débrouiller sans.

Dans le rapport que le groupe a présenté, ils ont exposé les garanties de sécurité que les gestionnaires de mots de passe devraient offrir et ont examiné le fonctionnement sous-jacent de cinq gestionnaires de mots de passe populaires pris en charge par le système d’exploitation Windows 10. Il s’agit des gestionnaires de mots de passe 1Password, Keepass, Dashlane et LastPass. Tous ces gestionnaires de mots de passe cités ci-dessous fonctionnement de la même manière, disent-ils. Les utilisateurs saisissent ou génèrent des mots de passe dans le logiciel et ajoutent les métadonnées pertinentes (par exemple, les réponses aux questions de sécurité et le site auquel le mot de passe est destiné). Ces informations sont cryptées, puis décryptées uniquement lorsque cela est nécessaire pour l'affichage pour les transmettre à un module complémentaire du navigateur qui remplit le mot de passe sur un site Web ou pour les copier dans le Presse-papier pour les utiliser.


Pour chacune de ces gestionnaires, le groupe définit trois états d'existence : non en cours d'exécution, déverrouillé et verrouillé. Dans le premier état, le gestionnaire de mot de passe doit garantir un chiffrement de manière à ce que tant que l'utilisateur n'utilise pas de mot de passe trivial, qu'un attaquant ne puisse brutalement deviner le mot de passe principal dans un délai raisonnable en utilisant les ressources informatiques couramment disponibles. Dans le deuxième état, il ne devrait pas être possible d'extraire le mot de passe principal de la mémoire ni directement, ni sous toute autre forme permettant de récupérer le mot de passe principal d'origine. Et dans le troisième état, toutes les garanties de sécurité d'un gestionnaire de mots de passe non actif doivent s'appliquer à un gestionnaire de mots de passe à l'état verrouillé.

Dans leur analyse, les évaluateurs disent avoir examiné l'algorithme utilisé par chaque gestionnaire de mots de passe pour transformer le mot de passe principal en une clé de chiffrement et que l'algorithme manque gravement de complexité pour résister aux attaques de type cracking actuelles. Dans le cas de 1Password 4 (version 4.6.2.628), l'évaluation de sa sécurité en cours d'exécution a permis de trouver des protections raisonnables contre l'exposition de mots de passe individuels à l'état déverrouillé. Malheureusement, cela a été éclipsé par sa gestion du mot de passe principal et par plusieurs détails d'implémentation brisés lors de la transition de l'état déverrouillé à l'état verrouillé. Le mot de passe principal reste en mémoire lorsqu'il est déverrouillé et le logiciel ne parvient pas à effacer suffisamment la région de la mémoire du mot de passe obfusqué lors du passage de l'état déverrouillé à l'état verrouillé.

Il est donc possible de récupérer et de désobfusquer le mot de passe principal à partir de 1Password 4 puisqu'il n'est pas effacé de la mémoire après avoir placé le gestionnaire de mots de passe dans un état verrouillé. En prenant 1Password 7 (version 7.2.576), ce qui les a surpris est qu’ils ont constaté qu'il est moins sécurisé en cours d'exécution que 1Password 4. 1Password 7 a déchiffré tous les mots de passe individuels de la base de données de test dès qu’il est déverrouillé et les met en mémoire cache, contrairement à 1Password 4 qui n’a gardé en mémoire qu’une entrée à la fois. En outre, ils ont aussi constaté que 1Password 7 ne nettoie ni les mots de passe individuels, ni le mot de passe principal, ni la clé secrète de la mémoire lors du passage de l’état déverrouillé à l’état verrouillé.

Ensuite, dans l’évaluation de Dashlane, les processus indiquaient que l’accent était mis sur la dissimulation de secrets en mémoire afin de réduire les risques d’extraction. De plus, l'utilisation de frameworks de gestion de la mémoire et de l'interface graphique qui empêchait la transmission de secrets à diverses API du système d'exploitation était unique à Dashlane et risquait de les exposer à une écoute illicite par des programmes malveillants. Contrairement aux autres gestionnaires de mots de passe, KeePass est un projet open source. Semblable à 1Password 4, KeePass décrypte les entrées au fur et à mesure de leur interaction. Cependant, elles restent toutes en mémoire, car elles ne sont pas effacées individuellement après chaque interaction. Le mot de passe principal est effacé de la mémoire et ne peut pas être récupéré.


Cependant, alors que KeePass tente de sécuriser les secrets en les effaçant de la mémoire, il existe évidemment des erreurs dans ces flux de travail, car nous avons découvert, disent-ils, que même dans un état verrouillé, nous pouvions extraire les entrées avec lesquelles il avait interagi. Les entrées ayant fait l'objet d'une interaction restent exposées en mémoire même après que KeePass ait été placé dans un état verrouillé. Enfin, semblable à 1Password 4, LastPass obscurcit le mot de passe principal lorsqu’il est saisi dans le champ de déverrouillage. Une fois que la clé de déchiffrement a été dérivée du mot de passe principal, le mot de passe principal est remplacé par la phrase "lastpass". Une fois que LastPass entre dans un état déverrouillé, les entrées de la base de données sont décryptées en mémoire uniquement lors de l'interaction de l'utilisateur.

Cependant, ces entrées restent en mémoire même après que LastPass a été replacé dans un état verrouillé. Autrement dit, il y a une exposition du mot de passe principale et des entrées en mémoire. Pour avoir plus d’informations sur les tests réalisés et plus de détails sur les résultats et conclusions des tests, vous pouvez vous référer au site de l’ISE. Pour finir, ISE a déclaré que son but n’était pas de critiquer les gestionnaires de mots de passe, mais de mettre en évidence les garanties primaires que tous les gestionnaires de mots de passe devraient pouvoir offrir.


« Ce document ne vise pas à critiquer les implémentations spécifiques du gestionnaire de mots de passe. Il s'agit plutôt d'établir une base minimale raisonnable à laquelle tous les gestionnaires de mots de passe doivent se conformer. Il est évident que des tentatives de nettoyage et de mémoire sensible sont effectuées dans tous les gestionnaires de mots de passe. Cependant, chaque gestionnaire de mots de passe échoue dans la mise en œuvre de la désinfection appropriée des secrets pour des raisons diverses », a conclu ISE dans son argumentaire.

Suite à cet article Dashlane nous a envoyé un droit de réponse que voici publié dans son intégralité :
Citation Envoyé par Réponse de Dashlane
« Le scénario évoqué est celui d'un pirate qui aurait pris le contrôle total de l'appareil d'un utilisateur. Tout d'abord, il convient de noter qu'il s'agit d'une question / d'une hypothèse très couramment envisagée dans le monde de la sécurité. En outre, cette problématique ne se limite pas à Windows 10, mais s'applique à tous systèmes d'exploitation et à tous les périphériques numériques connectés à Internet. En effet, elle est abordée dans notre livre blanc consacré à la sécurité (page 18, section f). Même si les consommateurs ne consultent probablement pas nos livres blancs sur la sécurité, la plupart des grandes entreprises clientes qui ont adopté notre solution (ou toute autre solution de gestion des identités) saut au fait de ce type de problématique, notamment dans le cadre de leurs audits de sécurité.

Il est en effet exact que si un pirate prend le contrôle total d'un périphérique au niveau le plus bas du système d'exploitation, il peut accéder à toutes les informations du périphérique. C’est non seulement valable avec Dashlane et les autres gestionnaires de mots de passe, mais aussi pour tout logiciel et même tout appareil qui stocke des données numériques. Dans un tel cas de figure, l’attaquant pourrait également voir tout ce qui est tapé par l'utilisateur, y compris les mots de passe et les numéros de carte de crédit, toute information échangée par l'appareil sur Internet même si elle est envoyée par https, et toute information que l'appareil est capable de capturer via du matériel (audio, vidéo, etc.), que l'utilisateur utilise ou non un gestionnaire de mots de passe.

Il est généralement admis dans le monde de la cybersécurité que le scénario décrit ci-dessus est un cas extrême, en ce sens qu'aucun système ne peut protéger un périphérique déjà complètement compromis. Veuillez noter cependant que les pires conséquences de ce scénario ne touchent pas les données stockées par Dashlane sur votre appareil : ces données (par exemple stockées sur le disque dur) sont cryptées et ne peuvent pas être lues par un pirate, même si celui-ci a pris le contrôle total de l'appareil. Ces conséquences ne s'appliquent qu'aux données présentes dans la mémoire de l'appareil lorsque l’utilisateur a saisi son mot de passe maître.

Il est dangereux d’utiliser cet argument pour pousser les gens à cesser d’utiliser un logiciel / une technologie de protection :

Recommander de ne pas utiliser une solution de protection à moins que celle-ci ne soit pratiquement impossible à compromettre conduit à rejeter tout logiciel de sécurité car, dans le scénario décrit, ils peuvent tous potentiellement être compromis.

Cela revient à dire : "J’accepte uniquement si je suis protégé à 100%. Si ce n'est pas le cas, je ne fais confiance à personne."
De ce fait, les consommateurs se retrouvent sans protection face aux menaces les plus courantes (réutilisation de mots de passe qui peuvent être volés en ligne par des pirates qui ciblent des millions de consommateurs en une seule attaque) par crainte d'une menace beaucoup moins probable (un cybercriminel qui prendrait spécifiquement le contrôle du périphérique d'un seul utilisateur).
Cela nous mène directement à la question de l'apathie des consommateurs en matière de protection de leur identité numérique : « comme aucune solution n'est parfaite à 100%, je préfère ignorer le problème...»
En fin de compte, la seule protection efficace dans ce type scénario est de ne plus utiliser l’appareil compromis.

C'est pour cette raison que la plupart des experts en sécurité (sinon tous) recommandent tout de même l'utilisation des gestionnaires de mots de passe, alors même qu'ils sont pleinement conscients du scénario évoqué. »
Source : ISE

Et vous ?

Que pensez-vous des résultats de cette recherche ?
Utilisez-vous un gestionnaire de mots de passe ? Quelle est votre appréciation à propos ?
Que pensez-vous de la réponse de Dashlane ?

Voir aussi

Le gestionnaire de mots de passe Blur expose les data de près de 2,4 millions d'utilisateurs à cause d'une erreur de configuration d'instance AWS

Android : les gestionnaires de mots de passe les plus populaires présentent des vulnérabilités critiques selon les chercheurs en sécurité de TeamSIK

Les pires mots de passe 2018 : « 123456 » trône en tête du classement pour la cinquième année consécutive et est suivi par « password » comme en 2017

Les régies publicitaires exploitent les gestionnaires de mots de passe intégrés des navigateurs pour traquer les internautes assure une étude

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de sebastiano
Membre extrêmement actif https://www.developpez.com
Le 21/02/2019 à 17:25
Je n'ai jamais ressenti le besoin d'utiliser des gestionnaires de mots de passe, il était évident qu'un endroit centralisant ces données (sensibles) serait exposé à ces vulnérabilités.
Avatar de 4sStylZ
Membre éclairé https://www.developpez.com
Le 21/02/2019 à 17:41
Je n’ai jamais aimé le système de mot de passe, surtout quand c’est utilisé à outrance pour créer des comptes à usage unique.
De manière génerale je préfère m’exposer à des risques théoriques et ne plus avoir à me soucier de centaines de mots de passes. C’est vraiment un confort dont j’aurai du mal à me passer. À vue de nez j’ai 250 comptes différents sur mon outil, et parfois plus d’un par site web distinct.

Peut être qu’avec un password manager je m’expose plus, mais ça reste à vérifier :*Après tout, un mot de passe on est embêté quand on se le fait voler mais aussi quand on le perd et sur le coup depuis que j’ai un password manager je ne les perd plus.
Avant, j’utilisais avant la sauvegarde auto des mots de passe. Je laissais donc stocké les mots de passes (certainement cryptés) sur chacune des machines / browser que j’utilisais. Maintenant ils sont chez un spécialiste de la sécu (bon… ça vaut ce que ça vaut).

Si je me fait hack mon master password je suis dans la mouise et on pourra monter un bon petit plan d’ingénierie sociale basé sur les accès à des sites de jeux video ou mon compte developpez.com

Le seul compte que je ne met pas sur mon outil est mon compte bancaire.
Avatar de Skyxia
Membre éclairé https://www.developpez.com
Le 21/02/2019 à 23:12
Hello,

Personnellement j'avais peur d'utiliser ce genre de logiciels auparavant, maintenant j'utilise Bitwarden sur le conseil d'un ami, et je le trouve plutôt pas mal, j'ai pas regardé en détail ce qu'il valait niveau sécurité mais j'ai jamais eu écho non plus de faille potentielle dessus. L'extension de Firefox est plutôt pratique faut l'avouer

Cdt,
Avatar de emilie77
Membre actif https://www.developpez.com
Le 22/02/2019 à 8:12
Vous les gardez comment alors vos mots de passe?
Avatar de tanaka59
Membre expérimenté https://www.developpez.com
Le 22/02/2019 à 9:43
Bonjour,

Pour gérer vos de mot de passe c'est très simple :

Mail principal + mot de passe sous forme de passe phrase (retenez seulement celui ci) pour vos webmail.

Pour vous inscrire à des sites web créez un alias de votre adresse mail qui ne permet pas de se connecter à votre messagerie (uniquement de recevoir du courrier).

Utilisez cet alias pour les sites +/- secure commercial/forum/tchat ...

Vous oubliez le mot de passe du web service ? Pas de soucis faite "mot de passe oublié" .

Ainsi vous ne vous emmerdez plus avec des mots de passes à retenir ^^ , encore moins un gestionnaire de mot de passe ... Ils sont forcement tous différents vos mots de passes sur les web services.

Vous pouvez dormir sur vos deux oreilles.

L'avantage ? En cas de piratage ou spam trop nombreux ... on coupe l'alias et magie ! Moins de spam !

Pourquoi risquer le diable avec des applis pareils ?
Avatar de Itachiaurion
Membre actif https://www.developpez.com
Le 22/02/2019 à 10:50
Citation Envoyé par tanaka59 Voir le message

Pourquoi risquer le diable avec des applis pareils ?
Parce que ces applis sont pratiques et permettent de s'adapter a tout types de mot de passe possible (on vous vois les sites qui sont allergique au caractères spéciaux et ou long mot de passe *gros yeux*) permettent de générer des mot de passes pseudo aléatoires, de se souvenirs d'identifiant, de ne pas avoir a recrée un mot de passe par semaine ou moins en fonction du nombre de site, de renouveler les mot de passes en question régulièrement pour limiter les risques et exposes pour certaines a des risques théoriques limités? Et si le gestionnaire de mot de passe tombe tu fais quoi? Et si tu le/les courriels tombe tu fais quoi? C'est a peu près le même combat au final, le risque zéros n'est pas présent le gestionnaire de mot de passe lui pouvant fonctionner en offline en cas de pépins pour les éventuel application offline a utilisé ou simplement pour éviter d'avoir a récupéré un mot de passe d'un forum ou d'un site pas important sur un réseaux qui n'inspire pas confiance.
Avatar de Neckara
Expert éminent sénior https://www.developpez.com
Le 22/02/2019 à 12:59
Après, les vulnérabilités ne semblent pas si énormes que cela (sauf pour les cas où le mot de passe maître est exposé).

Il y a peu de chance qu'une personne débarque dans votre maison/appartement avec de l'azote liquide pour y plonger votre ram.
Si votre ordinateur est totalement corrompu, c'est de toute manière fini, quoi que vous fassiez.

Le problème serait surtout l'exploitation d'une autre faille, pour aller lire directement la ram d'autres applications, sachant qu'en théorie, l'OS est censé disposer de mesures pour éviter/limiter de tels accès (e.g. adressage virtuel, canaris, …).
Sachant que votre mot de passe devra à un moment ou un autre se retrouver dans la ram, qu'il y soit exposé plus ou moins longtemps ne fera en pratique pas grande différence, si on considère que l'attaquant ayant un tel accès à la ram, pourra périodiquement aller la lire. En revanche si on considère que l'attaque commence à un temps t, effectivement, cela exposera aussi les entrées utilisées à t'<t.

À part disposer d'un secure element, il y aura toujours un moment de "vulnérabilité", si on considère le client comme totalement corrompu, et ce même sans utiliser de gestionnaire de mots de passes. On pourrait même citer, e.g., les side-channels attacks.

Plutôt que de vulnérabilité, je préfèrerais parler de marge de progression pour offrir une sécurité encore meilleure.

N'oublions pas aussi, que ce n'est pas parce que les gestionnaires de mots de passes ne sont pas parfaits, que ne pas les utiliser est mieux.
Avatar de Volgaan
Membre averti https://www.developpez.com
Le 22/02/2019 à 13:32
Citation Envoyé par tanaka59 Voir le message
Pourquoi risquer le diable avec des applis pareils ?
Parce que lorsqu'on a des dizaines ou des centaines de comptes, ça devient vite ingérable (sauf si on utilise le même mot de passe partout bien sûr ).

En plus, en ce qui me concerne, c'est bien pratique pour garder une trace de tous les comptes que je possède (je complète la liste au fur et à mesure)

Sans oublier qu'en entreprise, on est bien obligés d'avoir une liste quelque part pour tous les services, donc un gestionnaire de mots de passe sérieux sera infiniment plus pratique et plus sécurisé qu'un fichier texte qui traîne sur le réseau

Quant aux risques, j'en suis arrivé à la conclusion que c'est bien minime si on fait attention (surtout par rapport au service rendu) : il faudrait que le fichier de base de données « fuite » dans la nature et que quelqu'un puisse en casser le mot de passe (plus de 20 caractères), ce qui me paraît très peu probable. Au sujet des keyloggers, le problème serait exactement le même en entrant les identifiants à la main, alors...
Avatar de Itachiaurion
Membre actif https://www.developpez.com
Le 22/02/2019 à 13:36
Citation Envoyé par Volgaan Voir le message
Au sujet des keyloggers, le problème serait exactement le même en entrant les identifiants à la main, alors...
D'autant qu'on a la possibilité avec certains de faire un copier coller des ID avec effacement du cache dans les X secondes si on veut éviter le keyloggers. Ok ça ouvre d’éventuel faille, mais on va rapidement finir avec le serpent qui se mort la queue
Avatar de fredoche
Membre expert https://www.developpez.com
Le 22/02/2019 à 13:36
Le sujet est intéressant.
Que penser des gestionnaires de mots de passe intégrés aux navigateurs, qu'ils n'ont pas pris en considération ?
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web