Avec 80 % des attaques Web provenant du navigateur, les organisations sont constamment exposées à diverses attaques lorsque les employés utilisent leur navigateur. Ceux-ci incluent les téléchargements drive-by, la publicité malveillante, l’injection de code malveillant, les scripts intersites et bien d’autres.
En conséquence, les organisations recherchent constamment des moyens efficaces de se protéger contre les risques, menaces et attaques véhiculés par le Web. Certaines organisations se tournent vers des solutions de sécurité d'isolation du navigateur pour tenter de lutter contre ces vecteurs d'attaque. Dans cet article, j'expliquerai pourquoi cette approche est obsolète et inefficace et je soutiendrai qu'il existe des solutions de sécurité de navigateur meilleures et plus sécurisées à envisager.
Qu’est-ce que l’isolation du navigateur ?
Lorsqu'un utilisateur visite un site Web, le navigateur récupère le site fichiers d'un le serveur web et alors graphiquement rend la page sur l'écran de l'appareil. Du point de vue de la sécurité, il s’agit d’une surface d’attaque importante car elle implique l’exécution de code provenant d’une source inconnue sur l’appareil.
L'isolation du navigateur est une technologie qui sépare le processus de chargement des pages Web des appareils physiques des utilisateurs. De cette façon, les fichiers et le code ne peuvent pas atteindre l'appareil de l'utilisateur et son système d'exploitation, ce qui empêche l'exécution de codes potentiellement malveillants sur l'appareil d'un utilisateur et réduit les risques de téléchargement de logiciels malveillants.
En d’autres termes, l’isolation du navigateur protège l’activité de navigation contre les menaces basées sur le code en éloigner l'activité Internet des réseaux et infrastructures locaux d'une entreprise.
Les inconvénients de l’isolation du navigateur
L’approche d’isolation du navigateur présente de nombreux problèmes, notamment des problèmes de latence, la frustration des utilisateurs, des coûts élevés, une sécurité médiocre et une inefficacité. En outre, nous pensons que l’isolation des navigateurs n’est plus pertinente dans le paysage actuel des menaces.
Certains des principaux défis liés à l’isolation du navigateur incluent :
Mauvaise latence et expérience utilisateur
L'isolation du navigateur perturbe l'utilisateur. Si l'isolation du navigateur est hébergée sur un cloud public ou dans un centre de données géographiquement éloigné, l'utilisateur final connaîtra généralement une vitesse et des performances de navigateur médiocres. De plus, chaque fois que les utilisateurs souhaitent lancer le navigateur, ils devront d’abord passer par l’application d’isolation du navigateur. Cela peut être source de frustration, en particulier si l'application n'est pas mise à jour conformément au navigateur, ce qui peut empêcher certains sites Web de fonctionner de manière isolée par le navigateur.
De plus, le processus d'isolation perturbe gravement les applications Web dynamiques, car elles sont lourdes en JavaScript et incluent beaucoup de rendu de code côté client. La plupart des applications SaaS fonctionnant de cette manière, l’isolation du navigateur n’est pas un outil pertinent pour les organisations favorables au cloud.
Une charge lourde pour l'équipe informatique
Les problèmes de latence et de compatibilité mentionnés ci-dessus consomment également beaucoup de temps à l'équipe informatique. Les équipes informatiques sont tenues d'installer et de mettre à jour le logiciel d'isolation du navigateur sur chaque appareil final, puis de s'occuper de tous les bugs et problèmes qui surviennent. Ce défi devient plus compliqué lorsqu'il y a de nombreux employés à prendre en charge, avec le travail à distance et lorsque des sous-traitants tiers utilisent également les logiciels de l'organisation.
Cela conduit les équipes informatiques à faire face sans cesse à des problèmes de compatibilité, à des sites Web qui ne répondent pas ou à une navigation sous-optimale, tout en les distrayant de tâches plus importantes.
Coûts élevés
L’isolation du navigateur n’est pas seulement inconfortable à utiliser, elle est également coûteuse. Les solutions d'isolation du navigateur nécessitent que tout le trafic Web d'une organisation soit acheminé via le cloud. Cet encodage continu du trafic nécessite une bande passante importante, ce qui rend le processus d'isolation du navigateur gourmand en ressources et donc coûteux pour l'entreprise. L'infrastructure de cloud public tiers, sur laquelle le service d'isolation est hébergé, entraîne souvent des coûts supplémentaires qui sont également répercutés sur les clients. Dans l’ensemble, cela rend les solutions d’isolation très coûteuses à utiliser pour les organisations.
L'isolation du navigateur est utilisée de manière sporadique et laisse l'organisation exposée
Comme expliqué ci-dessus, l’isolation du navigateur coûte cher et perturbe les utilisateurs. En conséquence, les organisations choisissent souvent de l’utiliser uniquement dans des contextes spécifiques. Par exemple, l'entreprise peut exiger son utilisation uniquement dans les équipes ayant accès à des données particulièrement sensibles ou bien exempter l'utilisation de l'isolation du navigateur lorsque les utilisateurs accèdent à des domaines bien connus tels que Google, Microsoft ou AWS.
C'est malheureux comme nous l'avons vu de nombreuses attaques de phishing exploitant les domaines AWS ou Microsoft au cours de l'année écoulée. Les campagnes de phishing sont devenues plus sophistiquées et certaines parviennent à utiliser des domaines légitimes pour propager des logiciels malveillants et voler des données personnelles. Ainsi, lorsque l’organisation autorise une utilisation partielle de l’isolation du navigateur, elle reste exposée à des attaques de phishing réelles et répandues.
Globalement inefficace contre les attaques de phishing
Même si elle est utilisée sans interruption, l’isolation du navigateur est généralement inefficace contre les attaques de phishing. La logique d'isolation du navigateur repose sur le blocage des cyberattaques en empêchant l'exécution de codes Web malveillants sur l'appareil de l'utilisateur. Cependant, la plupart des attaques de phishing n'exécutent pas de code armé, mais volent plutôt des informations d'identification ou d'autres données personnelles insérées par des utilisateurs sans méfiance.
Les attaques de phishing reposent sur des actions de saisie des utilisateurs sur des sites Web qui semblent légitimes. En fait, la plupart des attaques véhiculées par les navigateurs incluent aujourd’hui une interaction de l’utilisateur que l’isolation du navigateur ne peut pas empêcher. Pour le dire clairement, les attaques de phishing n’exécutent pas de code, l’isolation du navigateur est donc pratiquement inutile contre ces attaques.
Il s’agit d’une faille de sécurité majeure, car les attaques de phishing constituent une menace énorme et se généralisent chaque année. Recherche du gouvernement britannique a constaté celui des entreprises qui ont signalé avoir subi des violations ou des attaques de cybersécurité au cours de l'année dernière, 83 % ont fait l’objet d’attaques de phishing. Les attaques ingénieuses de phishing et de logiciels malveillants constituent une menace sérieuse qui peut nuire aux organisations de plusieurs manières : pertes financières, fuites de confidentialité, perte de données, etc.
Redondant avec l'isolation de site de Chrome
Pour couronner le tout, il s'avère que l'isolation du navigateur est déjà une fonctionnalité de sécurité existante dans Google Chrome. La fonctionnalité, appelée Isolation de site, est activée par défaut dans Chrome depuis sa mise à jour version 67 en mai 2018. Elle place les pages de différents sites Web dans différents processus, chacun s'exécutant dans un bac à sable qui limite ce que le processus est autorisé à faire. Cette isolation est un type spécifique d'isolation de navigateur côté client qui charge les pages Web sur un appareil utilisateur, mais utilise le sandboxing pour séparer le code et le contenu du site Web du reste de l'appareil.
La différence entre les deux mécanismes est que l'isolation du site ne permet pas de séparer physiquement le code nuisible de l'appareil, tandis que l'isolation du navigateur à distance exécute le code du site Web sur l'infrastructure cloud en dehors de l'appareil de l'utilisateur. Cependant, cette différence est peu significative car les vecteurs d’attaque capables de s’échapper des bacs à sable, puis d’attaquer l’appareil, sont relativement rares.
Les vulnérabilités qui incluent l’évasion sandbox sont considérées comme des attaques quelque peu « de haut niveau ». Ils sont rares, nécessitent une expertise technologique complexe et sont constamment recherchés par les chercheurs en sécurité. Google, par exemple, récompense des sommes considérables aux chercheurs qui ont signalé ces vulnérabilités à l'entreprise, dans le cadre de son programme de récompense de bug bounty.
Tout cela pour dire que ces exploits sont d'une telle sophistication et d'une telle ingéniosité qu'ils peuvent probablement surpasser d'autres fonctionnalités de sécurité conventionnelles telles que l'isolation du navigateur à distance. En termes simples, les RBI standards ne les bloqueront probablement pas non plus.
L'isolation du navigateur ne fonctionne pas : il est temps d'entrer dans une nouvelle ère en matière de sécurité du navigateur
Le navigateur est aujourd’hui un outil de travail extrêmement important et irremplaçable. Dans le passé, l’isolation des navigateurs répondait à un réel besoin : protéger les utilisateurs des codes malveillants qui se cachent sur le Web. Cependant, l’évolution du paysage des menaces, à savoir la montée du phishing sans exécution de code et l’avènement de l’isolation des sites côté client, ont rendu la RBI inefficace et hors de propos. L’isolement, c’est comme aller nager dans une combinaison d’astronaute – pas très utile et très pénible.
Il est temps d’adopter une approche holistique de la sécurité des navigateurs qui puisse donner de meilleurs résultats pour les utilisateurs et pour les besoins de cybersécurité des organisations. La sécurité LayerX fournit les principaux éléments positifs qui ont rendu RBI utile : surveillance et gouvernance en temps réel de l'interaction des utilisateurs sur le Web et protection contre les logiciels malveillants. Mais plus important encore, il offre une véritable protection contre les attaques de phishing véhiculées par le navigateur sans interférer avec l'expérience de l'utilisateur.
Une bonne solution pour la sécurité du navigateur doit permettre aux utilisateurs d'utiliser le navigateur de manière transparente et de profiter de ses avantages en termes de productivité et d'efficacité. Ensuite, en s’appuyant sur les fonctionnalités de sécurité existantes du navigateur, fournissez cette couche supplémentaire cruciale pour bloquer les attaques les plus pertinentes.
