Étude allemande: Google peut accéder à votre coffre-fort de mots de passe

L'autorité allemande de cybersécurité révèle des vulnérabilités dans les gestionnaires de mots de passe

Une étude approfondie du Bundesamt für Sicherheit in der Informationstechnik (BSI) allemand a révélé des failles de sécurité alarmantes dans des gestionnaires de mots de passe populaires, le gestionnaire de mots de passe de Google Chrome figurant parmi les outils insuffisamment sécurisés. L'enquête, menée en collaboration avec le FZI Research Center for Information Technology, a examiné dix gestionnaires de mots de passe et a découvert que trois d'entre eux - dont Google Chrome Password Manager, mSecure et PassSecurium - donnent théoriquement à leurs fournisseurs un accès aux mots de passe stockés.

La vulnérabilité de Google Chrome

Pour les utilisateurs de Google Chrome, le risque survient lorsque la synchronisation des mots de passe est activée sans qu'une phrase secrète distincte ne soit définie. 'Lorsque les utilisateurs synchronisent leurs mots de passe sans cette phrase secrète supplémentaire, Google peut théoriquement accéder à leur coffre-fort de mots de passe,' explique l'expert en cybersécurité, le Dr Markus Schmidt. Le BSI recommande spécifiquement aux utilisateurs de Chrome d'accéder à leurs paramètres de gestionnaire de mots de passe et d'activer l'option de phrase secrète pour une couche de chiffrement supplémentaire.

L'étude a découvert que Google peut accéder aux mots de passe car le processus de synchronisation stocke des données chiffrées sur les serveurs de Google, mais sans la phrase secrète supplémentaire, la clé de chiffrement reste accessible à Google. 'Ce n'est pas nécessairement une intention malveillante de la part de Google, mais cela crée une vulnérabilité potentielle qui pourrait être exploitée,' note la chercheuse en sécurité Elena Rodriguez.

Cinq alternatives sécurisées

Une bonne nouvelle est que le BSI a identifié cinq gestionnaires de mots de passe offrant une sécurité robuste : 1Password, Avira Password Manager, Keepass2Android, KeePassXC et Mozilla Firefox Password Manager (lorsqu'il est utilisé avec un mot de passe principal). Ces outils implémentent un chiffrement de bout en bout correct qui empêche même les fournisseurs de services d'accéder aux données des utilisateurs.

'1Password a constamment démontré de solides pratiques de sécurité avec son architecture zero-knowledge,' déclare le consultant en cybersécurité Michael Chen. 'Les mots de passe principaux des utilisateurs ne quittent jamais leurs appareils, et tout le chiffrement se fait localement avant que les données n'atteignent leurs serveurs.'

Préoccupations de sécurité plus larges

L'étude du BSI a révélé d'autres résultats préoccupants en plus de l'accès des fournisseurs. Seuls quatre des dix gestionnaires de mots de passe examinés implémentaient des algorithmes cryptographiques conformes à la norme de sécurité allemande BSI TR-02102-1. De plus, huit sur dix ont échoué à rechiffrer correctement les données lorsque les utilisateurs modifiaient leur mot de passe principal, laissant potentiellement d'anciennes clés de chiffrement vulnérables.

'Le problème de rechiffrement est particulièrement inquiétant car cela signifie que même si vous changez votre mot de passe principal, les données précédemment stockées pourraient rester accessibles avec d'anciennes clés,' met en garde le Dr Schmidt.

Pourquoi les gestionnaires de mots de passe restent essentiels

Malgré ces résultats, le BSI et les experts en cybersécurité s'accordent à dire que l'utilisation de gestionnaires de mots de passe est bien plus sûre que de ne pas en utiliser. 'L'alternative - la réutilisation de mots de passe ou des mots de passe faibles - représente un risque de sécurité bien plus grand que toute vulnérabilité dans ces outils,' souligne Rodriguez. Les attaques de phishing et les attaques par bourrage d'identifiants qui exploitent des mots de passe réutilisés sont responsables de plus de 80% des violations de données selon des études récentes.

Le rapport du BSI indique spécifiquement : 'Les utilisateurs ne doivent pas être découragés d'utiliser des gestionnaires de mots de passe. Les avantages en matière de sécurité l'emportent considérablement sur les risques, surtout par rapport à la réutilisation de mots de passe.'

Recommandations pour les utilisateurs

Pour les utilisateurs actuels du gestionnaire de mots de passe de Google Chrome, le BSI recommande d'activer immédiatement la fonction de phrase secrète de synchronisation. Pour ceux qui envisagent des alternatives, les experts en sécurité recommandent 1Password, Bitwarden ou Keeper comme options particulièrement sûres. Tous les trois offrent un chiffrement solide, des audits de sécurité réguliers et des politiques de confidentialité transparentes.

'La leçon principale est que les utilisateurs doivent choisir des gestionnaires de mots de passe avec des antécédents de sécurité éprouvés et activer toutes les fonctions de sécurité disponibles,' conclut Chen. 'Et utilisez toujours des mots de passe uniques et forts pour chaque compte - c'est la protection fondamentale que fournissent les gestionnaires de mots de passe.'

Alors que la sécurité numérique devient de plus en plus critique, cette étude allemande sert de rappel important que même les outils de confiance nécessitent une configuration correcte et une évaluation continue pour une protection maximale.