REMARQUE Cette réponse peut être obsolète en raison des améliorations apportées à Chrome depuis la rédaction de cette réponse.

Tout d'abord, Chrome le fait cryptez vos mots de passe et autres données secrètes. Mais il y a différents aspects à cela en fonction du paramètre, plus quelques détails que vous devez garder à l'esprit.

Sur votre ordinateur, dans votre système d'exploitation

Lorsque les mots de passe sont enregistrés localement sur votre ordinateur, Google tentera d'utiliser le coffre-fort de mots de passe local. Par exemple, si vous êtes sur OSX, c'est le trousseau du système. Si vous êtes sous Windows, il s'agit de l ' API de protection des données Windows (Microsoft a une compétence particulière pour nommer les produits), si vous êtes sur KDE, c'est le Wallet, dans GNOME c'est Gnome Keyring.

Chacun de ces produits a ses propres implications qui méritent d'être notées. Par exemple, si jamais vous synchronisez vos mots de passe sur un appareil OSX, ces mots de passe vont dans le trousseau (comme mentionné) qui a été renommé le trousseau iCloud - dont les implications sont exactement ce qu'elles sonne comme: maintenant, Apple connaît également vos mots de passe enregistrés et les synchronisera avec votre iPhone, votre iPad et tout autre appareil Apple. C'est peut-être précisément ce que vous vouliez. Et peut-être pas. Soyez juste conscient.

L'édition professionnelle de Windows Exciting Names and Data Protection API Professional Edition ne possède pas de telles fonctionnalités. Vos mots de passe se trouvent sur votre ordinateur et y restent jusqu'à nouvel ordre. Appelez cela démodé ou appelez-le sûr. Mais gardez à l'esprit que Microsoft a l'habitude de chasser Apple et peut décider de le faire ici également.

Dans le cloud

En plus de toute synchronisation iCloud involontaire comme mentionné ci-dessus , Chrome synchronisera également vos mots de passe entre les instances Chrome. Cela signifie envoyer vos données à Google. Oui, c'est chiffré.

Comment est-il chiffré? C'est à toi de voir. Vous pouvez soit utiliser votre compte Google (par défaut), soit définir une «phrase secrète de synchronisation» spéciale. Bien que je n'ai aucune connaissance particulière des éléments internes de ces deux options, les implications semblent assez simples.

Si vous utilisez le mot de passe de votre compte Google, les mots de passe sont déchiffrés sans aucune autre intervention de votre part. Notez que le mot de passe réel est en fait requis; l'accès au compte Google seul n'est pas suffisant. J'ai vu des situations dans lesquelles Chrome avait réussi à se connecter et à récupérer ses données de synchronisation via une autorisation externe, mais n'était pas en mesure de les déchiffrer tant que je n'avais pas saisi le mot de passe Gmail d'origine. L’avantage, par conséquent, d’utiliser une «phrase de passe de synchronisation» distincte est de s’assurer que quiconque possède votre mot de passe Gmail (vraisemblablement Google pourrait, par exemple) n’aura pas votre mot de passe de synchronisation.

Remembering autocomplete = off Mots de passe

L ' article geek.com mentionné soulève un point intéressant, mais ce point est traditionnellement argumenté à partir d'une position de ... C'est une position commune des «défenseurs de la vie privée» (en particulier ceux pour qui je mettrais ce terme entre guillemets), mais les implications en matière de sécurité sont très, très, très claires, et très certainement, carrément du côté de Google.

J'ai déjà écrit à ce sujet. Allez lire cette autre réponse, puis revenez. J'attendrai.

Continue.

OK, de retour? OK, voici les points critiques alors qu'ils sont frais dans votre esprit: autocomplete = off a été une intervention ajoutée pour désactiver une fonctionnalité très dangereuse. Cette fonctionnalité n'est pas la sauvegarde du mot de passe dont nous avons parlé.

La fonctionnalité dont nous avons parlé aide les utilisateurs. Cet autre était une tentative malavisée d'être utile en remplissant des formulaires en utilisant des éléments que vous avez tapés sur d'autres sites Web. Alors imaginez un assistant de saisie semi-automatique comme Clippy, mais avec de pires compétences sociales: "Je vois que vous essayez de vous connecter à Ebay; je vais juste remplir votre login depuis Yahoo et nous verrons si cela fonctionne." Ouais, nous avions des idées amusantes sur la sécurité dans les années 90. Vous pouvez voir pourquoi mettre autocomplete = off dans tout ce qui concerne la sécurité, même à distance, est rapidement devenu une puce dans les audits de site.

En comparaison, la saisie semi-automatique dont nous parlons about est une solution de renforcement de la sécurité très soigneusement contrôlée. Et si vous l'utilisez pour quoi que ce soit , vous voudrez l'utiliser pour vos mots de passe les plus sécurisés? Pourquoi? Phishing.

Le phishing est littéralement l'attaque en ligne la plus dangereuse à laquelle vous êtes confronté. C'est super efficace et super dévastateur. Cela n'attire pas l'attention qu'il devrait, car nous pointons toujours du doigt l'utilisateur stupide qui a donné son mot de passe à l'armée électronique syrienne. Mais se défendre contre le phishing est vraiment, vraiment difficile, et l'exploiter est donc vraiment, vraiment facile. De plus, un exploit de phishing réussi a un potentiel de dommages illimité, jusqu'à l'arrêt complet. - une sorte de catastrophe en entreprise.

En fin de compte, le point de Justin était le même que votre observation selon laquelle même les mots de passe LastPass seraient à 100% vulnérables aux logiciels malveillants présents sur votre machine. Votre machine est l'endroit où réside la sécurité ultime.

Le message d'Elliot Kember affirme que votre sécurité globale est augmentée si vous avez besoin d'un mot de passe principal pour afficher d'autres mots de passe. Et il a un argument valable. Il y a certainement un avantage à réduire votre surface d'attaque, et il prétend que Google n'essaye même pas à cet égard. Elliot affirme que le "faux sentiment de sécurité" de Justin ignore l'élément humain, c'est-à-dire que 95% des personnes à qui vous pourriez prêter votre machine sont incapables de l'exploiter. Cependant, si vous prêtez votre machine à votre beau-frère sans valeur, il pourrait faire quelque chose d'idiot qui vous expose à un virus - votre beau-frère ne vous exploite pas délibérément, mais il est un vecteur potentiel d'infection.

Dans l'ensemble, l'argument de Justin exploite également le comportement humain. Si Chrome permet à d'autres personnes de voir facilement vos mots de passe, vous seriez stupide de laisser quelqu'un d'autre l'utiliser sans surveillance étroite. Les deux côtés ont des points valides.

Le problème tacite avec Chrome est qu'à moins que vous ne cliquiez sur une option de synchronisation avancée obscure, votre mot de passe de synchronisation est le même que votre mot de passe Google. Par défaut, Google a donc la possibilité de déchiffrer votre fichier de synchronisation et d'accéder à vos mots de passe. Vous avez maintenant étendu votre surface d'attaque pour inclure une confiance totale en Google pour protéger tous vos mots de passe. Google est-il digne de confiance? La réponse simple est de se demander pourquoi Google espionnerait jamais vos mots de passe et risquerait de nuire à la confiance que les gens ont pour eux. Mais les remettent-ils aux autorités lorsqu'ils sont présentés avec un mandat et une lettre de sécurité nationale? Ces questions ont des réponses inconnaissables, mais elles concernent votre sécurité personnelle.

Vous pouvez cependant aller plus loin et améliorer votre sécurité grâce à un matériel fiable. Vous pouvez associer votre compte LastPass pour utiliser une YubiKey pour l ' authentification à deux facteurs. C'est une clé USB qui agit comme un clavier, mais vous la gardez sur votre trousseau de clés à côté de la clé de votre maison. Il fournit une chaîne apparemment aléatoire à Lastpass que Lastpass peut ensuite utiliser un algorithme pour vérifier, vous accordant l'accès à votre compte. Même sur une machine totalement connectée où les logiciels malveillants peuvent intercepter les mots de passe en cours d'utilisation, tant qu'ils n'ont pas accès au presse-papiers ou que vous utilisez le plugin de navigateur Lastpass, vos mots de passe sont en sécurité.

You are asking about how to be secure under the assumption that a malicious actor has started a process on your system (or hijacked another process with their own code) running with "user trust".

On Windows, you could trigger this action yourself by -- for example -- downloading http://example.com/virus.exe and then running it voluntarily. Even if you are never asked for a UAC prompt, your system is still effectively compromised.

On Linux, you could trigger this action by downloading a binary (or even a shell script, Ruby script, Python script, Java jar, etc), making it executable, and running it.

The security model of most OSes -- especially those which have not been very specifically configured with a strict Mandatory Access Control policy, which they almost never are out of the box for convenience -- is unable to mitigate a compromise at this level.

The following potential attack vectors immediately present themselves on Windows, Mac OS X, desktop GNU/Linux, desktop BSD, Android, iOS, etc., assuming a malicious actor is able to run some form of code with user trust on the system/device:

• Mouse/Keyboard capture or injection: capturing keystrokes, mouse movements/clicks, or injecting the attacker's own keyboard/mouse actions.
• Screen scraping or injection: capturing screenshots or video of the display output, or injecting the attacker's own arbitrary data to the screen to make you think you're doing one thing while actually doing another.
• Web browser hijacking: stealing session cookies and uploading them to a remote server.
• Arbitrary reads of any data on your filesystem that you can access manually as a user, and sending that data to the attacker's server.
• Using published or unpublished exploits at the system API layer (C library, security libraries, authentication libraries, kernel interface, etc.) to elevate permissions from user to administrator level, and then perform more advanced compromise techniques (rootkits, etc.) that aren't typically possible as a regular user, to further exfiltrate data or confuse the user into typing their passwords or personal information, which is then keylogged and exfiltrated

Given this list of possible attack vectors, and probably others I'm missing, it is impossible for any "password manager" to actively prevent any/all of these methods from being exploited to either steal your data, or make you think you're at a legitimate website where you then unwittingly submit your credentials or personally-identifiable info to the attacker.

Let's put it this way: if Cross-Site Request Forgery and Cross-Site Scripting or Heartbleed are comparable to having your front door wide open, trying to have any meaningful security within a password manager under a scenario of malicious program(s) running under user trust is like trying to sleep peacefully when you can see a robber in your bedroom who's rifling through your personal valuables and putting interesting ones in a big bag.

Pour moi, c'est comme dire que vous n'avez pas besoin de vous soucier de verrouiller votre voiture, car si quelqu'un voulait vraiment entrer, il ne ferait que briser une fenêtre.

Même si vous quittez votre session LastPass connecté (ce qui n'est pas conseillé si quelqu'un d'autre a accès à votre ordinateur), il est toujours plus efficace à plusieurs égards que d'utiliser un système où les clés sont stockées sur le disque (Chrome).

Les clés LastPass ne sont accessibles (en mémoire) que lorsque la session est connectée, tandis que les clés Chrome sont accessibles à tout moment si vous avez accès aux fichiers. Cela signifie que ce dernier est sensible à un plus grand nombre de vecteurs d'attaque:

• Même si vous gardez votre ordinateur physiquement sécurisé, si quelqu'un a accès à un disque de sauvegarde non chiffré, une sauvegarde dans le cloud ou une sauvegarde du réseau local, ils peuvent récupérer vos clés. Par exemple, les ordinateurs de mon travail sauvegardent les fichiers de profil utilisateur sur des partages réseau SMB - le transfert de fichiers n'est pas chiffré, donc toute personne ayant accès au réseau ou aux disques du serveur de sauvegarde, ou aux disques de sauvegarde, ou même un accès futur à ces disques , obtiendrait tous mes mots de passe si je les enregistrais dans Chrome.
• Une fois votre ordinateur verrouillé ou éteint, il n'est pas possible d'accéder aux clés dans LastPass, mais les clés dans Chrome sont toujours sur le disque ( en supposant que votre disque dur n'est pas chiffré.) Un attaquant motivé peut simplement retirer le disque dur ou prendre tout l'ordinateur.
• S'il s'agit d'un attaquant distant, il est beaucoup plus simple de faire copier un programme malveillant par un peu de fichiers Chrome de votre compte utilisateur que pour obtenir un programme malveillant pour accéder à la session LastPass actuellement ouverte. LastPass peut empêcher d'autres logiciels de niveau utilisateur d'accéder à sa mémoire et de manipuler ses entrées de fenêtre, et les logiciels qui tentent de prendre le contrôle de l'écran ou du clavier peuvent alerter les antivirus. [Notez qu'il est probablement encore facile de remplacer les raccourcis du programme et d'intercepter une future exécution de LastPass, mais cela vous oblige à ne pas remarquer l'intrusion.]

Bien sûr, si vous laissez votre ordinateur déverrouillé et que quelqu'un s'approche et récupère tous les mots de passe, c'est de votre faute, mais au moins avec LastPass, vous avez la possibilité de verrouiller la session et de la rendre beaucoup plus impliquée.

Vous supposez que des "pirates malveillants intelligents" ont installé des logiciels malveillants sur votre système. Toute différence entre deux gestionnaires de mots de passe est marginale et purement une question de chance à ce stade, pas une garantie de sécurité conçue.

Si vous êtes préoccupé par la sécurité, passez à l'authentification à deux facteurs pour l'ensemble de la pile Google ET utilisez un Chromebook. Pas un Mac ni un PC Windows. Commencez par Gmail, Drive, Agenda, etc.

Les Chromebooks sont limités à certains égards, mais beaucoup, beaucoup, beaucoup plus résistants aux menaces persistantes avancées. S'ils obtiennent une porte dérobée sur le réseau, ils peuvent intercepter le trafic de votre Chromebook, mais ils ne peuvent pas prendre pied de façon persistante ou une porte dérobée sur votre appareil. C'est extrêmement difficile.

Je travaille pour une entreprise de cybersécurité. Tous nos employés sont constamment attaqués. J'ai fait un vidage de la mémoire sur mon appareil Windows environ une fois par mois, puis une reconstruction. sans blague. très fatigant.

Le Chromebook était une excellente alternative. Plus sûr. Vous vous habituez à travailler dans des feuilles, doc, puis utilisez excel, word, pdf-adobe comme archive pour le document à cet instant. Une façon de penser différente et meilleure. La collaboration est intégrée. Le calendrier fonctionne très bien. Une fois que vous vous serez habitué à l'approche différente pour commencer avec des documents collaboratifs, si vous le souhaitez, au lieu de versions constantes dans ms office, vous l'aimerez beaucoup. mais il faut s'y habituer et c'est différent. différent n'est pas meilleur, différent est différent! alors soyez patient.

En tant que défenseur de LastPass au travail - la sécurité est largement équivalente entre Chrome et Lastpass en tant que gestionnaires de mots de passe.

LastPass maintient une clé de récupération dans les navigateurs par défaut (elle peut être désactivée), même si vous ne restez pas connecté, une personne ayant accès à votre compte peut réinitialiser l'accès si elle a accès à votre e-mail / SMS.

LastPass a de nombreux arguments de vente, une assistance multi-navigateurs, des fonctionnalités d'entreprise, etc., mais je ne pensez pas que tout cela le rend plus sûr.

Le point de vente pour nous est qu'il offre des rapports d'entreprise de base. Je peux donc dire si mes utilisateurs utilisent LastPass, qu'ils ont 2FA et utilisent des mots de passe aléatoires (ou au moins tout aussi forts).

Vous pouvez désactiver le jeton de récupération, restreindre l'accès par pays, liste blanche appareils et activez 2FA, mais il s'agit toujours d'un plugin de navigateur avec divers accès locaux complexes.