J’ai hâte que cette nouvelle fonctionnalité de sécurité de Chrome décolle

Aussi efficaces que soient les mots de passe et l’authentification à deux facteurs, ils ne peuvent pas empêcher complètement quelqu’un d’accéder (et éventuellement de voler) un compte. Mais une nouvelle fonctionnalité de Chrome devrait rendre cette possibilité beaucoup plus difficile, à condition que les opérateurs de sites Web commencent à l’utiliser.

Appelée « Device Bound Session Credentials », cette mise à jour est récemment devenue entièrement disponible dans la version générale de Chrome. Cela aide à résoudre un problème appelé détournement de session, que les acteurs malveillants exploitent depuis longtemps sur le Web. Bien que les clés d’accès, les mots de passe forts et le 2FA fournissent une défense indispensable contre les attaques de connexion (par exemple, le phishing et le credential stuffing), ils ne s’appliquent qu’au processus d’authentification. Une fois que vous êtes connecté et que la session est active, ces formes de sécurité ont terminé leur travail. Ils ne protégeront pas contre un pirate informatique copiant les cookies qui vous maintiennent connecté et les utilisant ensuite pour se glisser dans votre compte (et éventuellement le prendre en charge).

Considérez la configuration par défaut comme similaire à l’obtention d’un laissez-passer complet pour un lieu. Vous leur dites qui vous êtes sur la liste VIP, puis montrez votre pièce d’identité avec photo. La direction suppose que vous ne partagerez jamais le pass, donc votre photo n’y figure pas. Pendant ce temps, quelqu’un passe par là, prend une photo parfaite pendant que vous tenez le laissez-passer, puis envoie une impression au videur alors que vous êtes déjà à l’intérieur du bâtiment. Ils obtiennent le même accès que vous, et vous n’en êtes pas plus sage jusqu’à ce qu’ils mettent à jour la photo d’identité enregistrée et que vous soyez soudainement expulsé.

Une façon de contrecarrer de telles attaques de piratage consiste à lier une session à l’appareil, c’est-à-dire que le ou les cookies générés pour la session active ne fonctionnent que sur le PC ou le téléphone pour lequel ils ont été émis. Un pirate informatique peut voler les cookies autant qu’il le souhaite, mais le site Web ne les autorisera pas à accéder à votre compte car les informations sur l’appareil ne correspondent pas entre le cookie et la machine du pirate de l’air. Mais jusqu’à présent, cette pratique n’était pas répandue sur les sites internet grand public. À l’heure actuelle, le lancement par Google des informations d’identification de session liées aux appareils dans Chrome fonctionne immédiatement pour les comptes Google personnels et les abonnés Google Workplace, mais il offre également une méthode de mise en œuvre standardisée.

Compte tenu de la popularité de Chrome, son intégration des cookies de session liés au périphérique incitera probablement les développeurs à adopter et à mettre en œuvre cette méthode d’émission de jetons de session. Les utilisateurs peuvent évidemment réduire le risque d’être victime d’un piratage de session en adoptant de bonnes habitudes en ligne, comme l’installation de logiciels et d’extensions connus et fiables. Ils peuvent également vérifier les adresses des liens avant de cliquer et à nouveau avant de saisir les informations de connexion.

Mais de nos jours, la prudence ne suffit pas toujours. Le détournement de session peut en réalité se produire de différentes manières, par exemple par des logiciels malveillants sur votre PC installés en tant qu’application ou extension de navigateur ; scripts malveillants sur des sites Web ; et les sites de phishing. Les options s’élargissent encore davantage lorsqu’il s’agit d’un site Web moins sécurisé. Les attaquants peuvent utiliser des méthodes telles que l’espionnage du trafic non crypté sur les réseaux publics ou la découverte du système pour savoir comment les jetons de session sont émis.

Bon sang, vous pouvez installer une application ou une extension de navigateur populaire, approuvée et fiable et néanmoins être victime d’une attaque : un logiciel légitime peut plus tard se transformer en malware, car le développeur est piraté ou vendu à un mauvais acteur.

Ainsi, même le respect des meilleures pratiques ne garantit pas la sécurité. Et les utilisateurs quotidiens n’ont aucun contrôle sur le backend des sites Web. Des stratégies telles que les cookies de session liés aux appareils constituent le type de protection supplémentaire nécessaire dans un monde en ligne de plus en plus chaotique. Espérons que les développeurs établiront rapidement cette norme.