Les extensions de gestionnaire de mots de passe améliorent la commodité. Cependant, entre les mains des employés, elles peuvent exposer l'entreprise à des risques considérables. Dans cet article, nous abordons les principaux risques de sécurité liés aux extensions de gestionnaire de mots de passe, leur impact sur l'entreprise et les solutions possibles. Nous listons également les extensions les plus populaires de cette catégorie, que vous pouvez autoriser vos employés à utiliser.
Que sont les extensions du gestionnaire de mots de passe ?
Les extensions de gestionnaire de mots de passe sont des modules complémentaires de navigateur qui stockent les mots de passe des utilisateurs pour les sites web et les applications SaaS, et les remplissent automatiquement lors de leurs nouvelles visites. Cela évite à l'utilisateur de devoir mémoriser et ressaisir ses mots de passe à chaque nouvelle visite. Pour encore plus de simplicité, les extensions de gestionnaire de mots de passe peuvent également suggérer des mots de passe forts et synchroniser l'accès aux mots de passe sur tous les appareils.
Principaux risques de sécurité des extensions de gestionnaire de mots de passe
Si les extensions de gestionnaire de mots de passe offrent des gains de productivité significatifs, elles présentent également des risques de sécurité. Les gestionnaires d'extensions de mots de passe peuvent facilement devenir un point de défaillance unique ; toute personne ayant accès aux mots de passe de vos employés peut théoriquement se faire passer pour eux et accéder aux systèmes de l'entreprise. Si vos employés utilisent des extensions de gestionnaire de mots de passe, posez-vous les questions suivantes :
1. Où sont stockés les mots de passe ?
Lorsque vos employés utilisent une extension de gestionnaire de mots de passe pour des activités liées au travail, vos mots de passe d'entreprise sont généralement :
- Dans un coffre-fort crypté sur le serveur du gestionnaire de mots de passe
- Sur leur appareil local
Les deux types de stockage comportent des risques de sécurité.
-
- Voûte extérieure – Si les serveurs du fournisseur ou la couche de connectivité entre le fournisseur et les appareils sont compromis, leurs mots de passe peuvent également être exposés.
- Appareil local – Les attaquants accédant au point de terminaison peuvent également accéder aux mots de passe.
2. Qui a accès à mes mots de passe ? (Et l'éditeur est-il fiable ?)
Étant donné que les extensions de gestionnaire de mots de passe stockent les mots de passe, leurs développeurs et propriétaires peuvent également y avoir accès. Les éditeurs réputés détaillent les normes de chiffrement qu'ils utilisent et indiquent s'ils appliquent une politique de « zéro connaissance » (c'est-à-dire qu'ils ne voient jamais votre mot de passe principal).
Les développeurs d'extensions moins crédibles ou récents peuvent ne pas faire preuve de la même rigueur : ils ne partageront pas leur modèle de sécurité et leurs politiques de confidentialité peuvent paraître douteuses. Cela dit, il existe aussi le scénario où un éditeur réputé est piraté ou racheté par un acteur malveillant. Cela signifie qu'il peut sembler légitime, mais en réalité se comporter de manière malveillante.
3. Comment les mots de passe sont-ils protégés ?
La question n'est pas de savoir si une faille de sécurité se produira, mais plutôt quand elle se produira, et les extensions de gestionnaire de mots de passe ne font pas exception. Par conséquent, les extensions de gestionnaire de mots de passe doivent être dotées de mesures de protection, notamment :
- Cryptage de mot de passe de bout en bout avec un algorithme de hachage puissant comme AES-256 ou Argon2. Cela garantit que même si les serveurs ou les canaux de transmission sont compromis, les données restent illisibles pour les attaquants.
- Architecture à connaissance nulle, Cela signifie que les développeurs de l'extension ne peuvent pas accéder aux coffres de l'utilisateur. Seul l'utilisateur détient la clé de déchiffrement, généralement dérivée de son mot de passe principal.
- Authentification – MFA, jetons matériels (YubiKey, FIDO2), etc. comme couches d’authentification fortes pour toute personne accédant aux coffres.
- Surveillance en temps réel pour voir si des informations d'identification stockées apparaissent dans des violations connues, avec des invites automatiques pour mettre à jour les mots de passe exposés.
- Autorisations granulaires pour garantir un accès limité au navigateur.
4. L'extension Password Manager peut-elle accéder à tous mes mots de passe ?
Les gestionnaires de mots de passe sont censés simplifier l'accès aux sites web et aux applications SaaS. Mais cela ne signifie pas qu'ils doivent y avoir accès. tous mots de passe liés au navigateur.
Le service informatique peut contrôler les mots de passe d'entreprise auxquels les extensions ont accès en fonction des critères suivants :
- Restrictions au niveau du domaine – Limitation des autorisations de remplissage automatique à des domaines spécifiques liés à une utilisation professionnelle non critique et exclusion des applications sensibles.
- Rôles d'utilisateur – Empêcher les rôles plus sensibles, comme les développeurs qui accèdent au code source, de stocker les mots de passe en externe.
- Sensibilité aux informations d'identificationy – Classification des informations d'identification en fonction de leur sensibilité (par exemple, connexions d'administrateur privilégiées par rapport aux connexions d'utilisateur générales) et autorisation de stockage uniquement des autorisations de bas niveau.
- Accès basé sur le temps – Mise en place d'un accès limité dans le temps et de mots de passe expirant automatiquement après une durée déterminée. Cela ne limite pas l'accès aux extensions, mais limite leur applicabilité.
5. Le gestionnaire de mots de passe peut-il accéder à d'autres magasins de mots de passe ou se faire passer pour eux ?
Un gestionnaire de mots de passe peut proposer d'importer des données depuis des services concurrents ou de s'intégrer à un système de stockage de mots de passe basé sur un navigateur. Si cette fonctionnalité n'est pas utilisée avec précaution, elle peut permettre à l'extension (ou à un attaquant l'exploitant) d'usurper l'identité de l'utilisateur, de copier des mots de passe ou des coffres-forts entiers, voire de les manipuler. Pour éviter cela, les outils fiables limitent généralement les modalités et le moment des importations et exigent une confirmation explicite de l'utilisateur.
L'impact des vulnérabilités des extensions de gestionnaire de mots de passe sur l'entreprise
Quel est l'impact d'une extension de gestionnaire de mots de passe compromise ? Les entreprises peuvent s'attendre à :
Violations de données à grande échelle
Lorsque le coffre-fort de mots de passe d'un employé est compromis, tous les identifiants qui y sont stockés peuvent être exposés. Les attaquants peuvent ainsi accéder à toutes les applications basées sur un navigateur, ce qui peut constituer une première étape dans le réseau de l'entreprise. Si ces mots de passe sont utilisés comme identifiants administrateur, root ou privilégiés, les attaquants peuvent même atteindre des applications critiques. Sur le réseau, ils peuvent voler des données, potentiellement perturber des opérations critiques, et bien plus encore.
Alimenter les futures attaques
Un coffre-fort compromis va au-delà d'une simple attaque. Si l'employé compromis adopte une mauvaise hygiène de mots de passe et réutilise ses mots de passe, ceux-ci peuvent être utilisés pour un « credential stuffing » réussi, permettant aux attaquants d'accéder facilement à d'autres systèmes. Même si les mots de passe varient légèrement, les attaquants peuvent recourir à des techniques de force brute ou à des outils d'IA pour prédire les variations. De plus, si ces identifiants sont vendus sur le dark web, ils deviennent largement accessibles aux cybercriminels et peuvent être utilisés pour de futures attaques, contre votre organisation ou d'autres.
Problèmes de réglementation et de conformité
Les entreprises sont aujourd'hui soumises à un réseau complexe d'exigences réglementaires, telles que le RGPD, la loi HIPAA, la norme PCI-DSS, la loi SOX, etc., selon leur secteur d'activité et leur localisation. Ces cadres imposent des contrôles stricts concernant le stockage, la transmission et la protection des données sensibles, y compris les identifiants d'accès. En effet, la compromission d'une extension de gestionnaire de mots de passe peut conduire à l'accès à des bases de données contenant des informations personnelles réglementées, ce qui constitue une violation de conformité.
Les amendes peuvent aller de plusieurs milliers à plusieurs dizaines de millions de dollars, selon la juridiction et les données exposées. Au-delà des sanctions financières, les violations entraînent souvent des enquêtes réglementaires, des audits obligatoires et une surveillance accrue de la sécurité de l'organisation. Dans certains secteurs, comme la santé ou la finance, la non-conformité peut également entraîner la perte de licences ou l'impossibilité d'exercer dans certaines régions.
Dommages à la réputation et aux affaires
Une entreprise victime d'une violation due à une extension de gestionnaire de mots de passe compromise s'expose non seulement à des conséquences techniques et réglementaires, mais aussi à une atteinte importante à sa réputation. Une violation de mot de passe est le signe d'une défaillance en matière d'hygiène de cybersécurité fondamentale. Les clients attendent des organisations qu'elles protègent leur couche d'accès la plus élémentaire : leurs identifiants.
Lorsque cette confiance est rompue, il faut parfois des années pour la reconstruire. Cela peut entraîner une perte de confiance des clients, des annulations de contrats ou une perte de clientèle. De plus, les investisseurs peuvent se retirer, les opérations de fusions-acquisitions peuvent être retardées ou abandonnées, et le moral interne peut chuter. Dans certains cas, des changements de direction sont opérés pour restaurer la confiance des parties prenantes.
Les 5 extensions populaires de gestionnaire de mots de passe
- LastPass
- 1Password
- Col Nord
- Gestionnaire de mots de passe Norton
- Passe des protons
Dernière partie : Comment LayerX sécurise les extensions du gestionnaire de mots de passe
LayerX améliore la sécurité des navigateurs en offrant une visibilité et un contrôle complets sur les extensions de navigateur au sein d'une organisation. Il identifie toutes les extensions installées sur les utilisateurs, les navigateurs et les appareils, permettant ainsi une évaluation approfondie de l'exposition de l'organisation aux menaces potentielles. Chaque extension est soumise à une évaluation automatique des risques, prenant en compte des facteurs tels que l'étendue des autorisations et des indicateurs de réputation externes tels que la crédibilité de l'auteur et les évaluations des utilisateurs.
Pour atténuer les risques, LayerX permet la mise en œuvre de politiques de sécurité adaptatives et basées sur les risques. Ces politiques granulaires et configurables peuvent être adaptées aux besoins spécifiques de l'organisation, facilitant le blocage ou la désactivation des extensions jugées risquées sans perturber les extensions légitimes.
En fonctionnant directement dans le navigateur, LayerX détecte et gère efficacement les extensions malveillantes, garantissant ainsi que les utilisateurs peuvent bénéficier d'outils améliorant la productivité sans compromettre la sécurité des données.
