Les extensions peuvent améliorer le confort de navigation mais représentent un risque majeur.
Les extensions de navigateur sont souvent perçues comme de simples outils de confort. Pourtant, elles disposent fréquemment de droits très étendus, leur permettant de lire le contenu des pages consultées, d’accéder aux formulaires ou de modifier les informations affichées.
Une extension malveillante ou compromise peut annuler tous les efforts de sécurité mis en place par ailleurs. Elle peut collecter des données sensibles, injecter du contenu ou transmettre des informations à des tiers. Certaines extensions collectent l’historique de navigation, injectent de la publicité ou accèdent aux mots de passe.
Il est donc impératif de limiter strictement le nombre d’extensions installées et de n’utiliser que des extensions reconnues, régulièrement mises à jour et issues de sources fiables. Chaque extension doit être considérée comme un risque potentiel qu’il convient d’évaluer.
✅️Les 20 bonnes pratiques !
- Chiffrer systématiquement les données avant leur envoi dans le cloud
- Considérer tout cloud non chiffré côté client comme un espace non confidentiel
- Utiliser des outils de chiffrement indépendants du fournisseur cloud
- Choisir des mots de passe longs, uniques et non réutilisés pour le chiffrement
- Sauvegarder les clés de chiffrement de manière sécurisée et hors ligne
- Ne jamais transmettre les clés de chiffrement par des canaux non sécurisés
- Limiter le nombre de services cloud utilisés pour réduire la surface de risque
- Désactiver les partages publics par défaut
- Vérifier régulièrement les paramètres de partage et d’accès
- Éviter la synchronisation automatique de dossiers contenant des données très sensibles sans compréhension des risques
- Chiffrer également les sauvegardes stockées dans le cloud
- Protéger les comptes cloud par une authentification multi facteur
- Mettre à jour régulièrement les outils de chiffrement utilisés
- Comprendre que le fournisseur cloud ne peut pas aider à récupérer des données chiffrées perdues
- Tester périodiquement l’accès aux données chiffrées depuis un autre appareil
- Ne jamais stocker les clés de chiffrement dans le même cloud que les données
- Séparer les usages personnels et professionnels du cloud
- Adapter l’usage du cloud au niveau de sensibilité de l’enquête
- Compléter le chiffrement côté client par un chiffrement du disque local
- Former les utilisateurs aux limites du chiffrement côté client
🔜 Solutions recommandées
Le chiffrement impose une discipline accrue. Certaines fonctionnalités courantes du cloud, comme la recherche dans le contenu des fichiers ou l’édition collaborative en temps réel, peuvent être limitées ou impossibles.
Il est également crucial de comprendre que le chiffrement côté client ne protège pas contre une compromission de l’appareil lui-même. Si un ordinateur ou un smartphone est infecté par un logiciel espion ou utilisé sans précaution, les données peuvent être accessibles lorsqu’elles sont déchiffrées à l’écran.
Enfin, la multiplication des copies synchronisées augmente le besoin de rigueur dans la gestion des appareils autorisés et des accès.
Cas pratique
Un journaliste partage un dossier via un service cloud pour travailler à distance.
Si les fichiers sont stockés en clair, une erreur de partage peut exposer les données. S’ils sont chiffrés, l’erreur n’entraîne pas de fuite exploitable.
Les solutions les plus fiables sont celles qui reposent sur un chiffrement côté client, où le fournisseur cloud n’a jamais accès aux données en clair.