Les extensions de mots de passe pour navigateur sont-elles sûres ? Les autorisations qui comptent

Juste avant l'installation d'une extension de mots de passe, le navigateur affiche un avertissement qui fait hésiter tout le monde : cette extension peut lire et modifier toutes vos données sur les sites web que vous visitez. Il est légitime d'hésiter. Prenons donc la chose au sérieux et répondons à la vraie question : cet accès est-il dangereux, et comment distinguer une extension digne de confiance de celle qu'il faut éviter ?

Pourquoi la saisie automatique a besoin d'accéder aux pages

Pour proposer de remplir un identifiant, une extension doit s'exécuter sur la page et repérer les champs de nom d'utilisateur et de mot de passe. Aucune version de la saisie automatique ne peut faire son travail en étant aveugle aux pages où vous vous connectez. L'autorisation large « accès aux sites web » n'est donc pas un signal d'alarme en soi ; c'est le prix de la fonctionnalité. Une extension météo qui la demanderait serait alarmante. Un gestionnaire de mots de passe qui la demande fait la seule chose possible.

L'avertissement est rédigé pour décrire le maximum dont une extension est capable, le pire cas, pas ce que telle ou telle choisit de faire. C'est la bonne façon pour un navigateur de vous avertir. Cela signifie aussi que l'avertissement ne peut pas, à lui seul, distinguer une bonne extension d'une mauvaise. Il faut regarder un niveau plus loin.

Les questions qui les distinguent vraiment

Quatre questions font l'essentiel du travail :

1. Que quitte la page ? Une extension soigneuse n'envoie que le strict minimum, idéalement le seul nom d'hôte du site, et jamais le contenu de la page ni ce que vous saisissez.
2. Où a lieu le déchiffrement ? Si votre coffre est déchiffré dans le navigateur, une copie déverrouillée de vos secrets se trouve dans la partie la plus exposée de votre ordinateur. Les meilleures conceptions déchiffrent ailleurs, derrière une vérification biométrique.
3. Quelles autres autorisations demande-t-elle ? Méfiez-vous des extras dont elle n'a pas besoin : historique de navigation, cookies, accès au presse-papiers, stockage général, capacité d'intercepter les requêtes web.
4. Où vont les données ? Communique-t-elle vers l'extérieur avec des analyses et du trafic de synchronisation, ou n'effectue-t-elle aucune requête réseau ?

Comment Kinship Vault y répond

Nous avons conçu l'extension pour donner la réponse rassurante à chacune :

Concrètement, l'extension demande l'autorisation de messagerie native (sa ligne privée vers l'application Kinship Vault), la possibilité de voir le site de l'onglet actif, et l'accès aux pages web afin de trouver les champs de connexion. Elle ne demande délibérément pas l'historique, les cookies, la lecture du presse-papiers, le stockage général, le scripting ni l'interception des requêtes web. Et comme elle ne déchiffre rien elle-même, même une faille dans l'extension n'a ni coffre ni clé à divulguer.

La bonne question n'est pas « cette extension peut-elle toucher à mes pages ? » Elle le doit. La bonne question est « qu'en fait-elle, et que refuse-t-elle de prendre ? »

En résumé

Une extension de mots de passe capable de lire et modifier les données des sites web n'est pas automatiquement dangereuse : cet accès est ce qui rend la saisie automatique possible. La sécurité vient de la retenue : n'envoyer qu'un nom d'hôte, déchiffrer derrière votre empreinte dans une application distincte, et se passer de toute autorisation dont elle n'a pas vraiment besoin. C'est l'exigence que nous avons fixée pour l'extension Kinship Vault, et c'est une exigence juste à imposer à n'importe quelle extension. Voyez exactement ce qu'elle demande et pourquoi dans la documentation de l'extension de navigateur.