Firefox est le seul navigateur à avoir obtenu les meilleures notes lors d’un récent audit effectué par l’agence allemande de sécurité informatique – l’Office fédéral allemand de la sécurité de l’information (ou le Bundesamt für Sicherheit in der Informationstechnik – BSI).
La BSI a testé Mozilla Firefox 68 (ESR), Google Chrome 76, Microsoft Internet Explorer 11 et Microsoft Edge 44. Les tests n’incluaient pas d’autres navigateurs tels que Safari, Brave, Opera ou Vivaldi.
L’audit a été effectué en se basant sur des règles détaillées dans une directive pour les “navigateurs sécurisés modernes” publiée par le BSI le mois dernier, en septembre 2019.
La BSI utilise normalement ce guide pour conseiller les agences gouvernementales et les entreprises du secteur privé sur les navigateurs sécurisés.
L’agence allemande de cybersécurité a publié une première directive relative aux navigateurs sécurisés en 2017, mais a revu et mis à jour les spécifications au cours de l’été.
La BSI a mis à jour son guide pour prendre en compte les mesures de sécurité améliorées ajoutées aux navigateurs modernes, telles que HSTS, SRI, CSP 2.0, la gestion de la télémétrie et des mécanismes améliorés de gestion des certificats.
Selon le nouveau guide de la BSI, pour être considéré comme “sécurisé”, un navigateur moderne doit satisfaire à ces exigences minimales:
Doit prendre en charge TLS
Doit avoir une liste de certificats de confiance
Doit prendre en charge les certificats de validation étendue (EV)
Doit vérifier les certificats chargés par rapport à une liste de révocation de certification (CRL) ou à un protocole OCSP (Online Certificate Status Protocol)
Le navigateur doit utiliser des icônes ou des couleurs vives pour indiquer le moment où les communications avec un serveur distant sont chiffrées ou en clair
Les connexions aux sites Web distants exécutés avec des certificats arrivés à expiration ne doivent être autorisées qu’après accord de l’utilisateur.
Doit prendre en charge la sécurité du transport strict HTTP (HSTS) (RFC 6797)
Doit prendre en charge la politique de même origine (SOP)
Doit prendre en charge la politique de sécurité du contenu (CSP) 2.0
Doit prendre en charge l’intégrité des sous-ressources (SRI)
Doit prendre en charge les mises à jour automatiques.
Doit prendre en charge un mécanisme de mise à jour distinct pour les composants et extensions de navigateur cruciaux.
Les mises à jour du navigateur doivent être signées et vérifiables
Le gestionnaire de mots de passe du navigateur doit stocker les mots de passe sous une forme chiffrée.
L’accès au coffre-fort de mots de passe intégré au navigateur ne doit être autorisé qu’après que l’utilisateur a entré un mot de passe principal.
L’utilisateur doit pouvoir supprimer les mots de passe du gestionnaire de mots de passe du navigateur.
Les utilisateurs doivent pouvoir bloquer ou supprimer les cookies
Les utilisateurs doivent pouvoir bloquer ou supprimer l’historique de saisie semi-automatique.
Les utilisateurs doivent pouvoir bloquer ou supprimer l’historique de navigation.
Les administrateurs d’organisation doivent être en mesure de configurer ou d’empêcher les navigateurs d’envoyer des données de télémétrie / utilisation.
Les navigateurs doivent prendre en charge un mécanisme permettant de rechercher des contenus / URL nuisibles.
Les navigateurs doivent permettre aux organisations d’exécuter des listes noires d’URL stockées localement – Doit prendre en charge une section de paramètres dans laquelle les utilisateurs peuvent activer / désactiver les plug-ins, les extensions ou JavaScript.
Les navigateurs doivent pouvoir importer des paramètres de configuration créés de manière centralisée, idéal pour les déploiements d’entreprise à grande échelle.
Doit permettre aux administrateurs de désactiver les fonctionnalités de synchronisation de profil dans le cloud
Doit être exécuté après son initialisation avec des droits minimaux sur le système d’exploitation.
Doit prendre en charge le sandboxing. Tous les composants du navigateur doivent être isolés les uns des autres et du système d’exploitation. La communication entre les composants isolés ne peut s’effectuer que via des interfaces définies. L’accès direct aux ressources de composants isolés ne doit pas être possible.
Les pages Web doivent être isolées les unes des autres, idéalement sous la forme de processus autonomes. L’isolation au niveau des threads est également autorisée.
Les navigateurs doivent être codés à l’aide de langages de programmation prenant en charge les protections de mémoire de pile et de pile.
Le fournisseur de navigateur doit fournir des mises à jour de sécurité au plus tard 21 jours après la publication d’une faille de sécurité. Si le fournisseur de navigateur principal ne fournit pas de mise à jour de sécurité, les entreprises doivent passer à un nouveau navigateur.
Les navigateurs doivent utiliser des protections de mémoire du système d’exploitation telles que le format d’espace d’adresse aléatoire ou la prévention de l’exécution des données (DEP) .
Les administrateurs d’organisation doivent être en mesure de réglementer ou de bloquer l’installation de modules complémentaires / extensions non autorisés. Selon la BSI, Firefox est le seul navigateur à prendre en charge toutes les exigences ci-dessus.
Les domaines dans lesquels d’autres navigateurs ont échoué incluent:
Manque de prise en charge d’un mécanisme de mot de passe principal (Chrome, IE, Edge)
Pas de mécanisme de mise à jour intégré (IE)
Aucune option pour bloquer la collecte de télémétrie (Chrome, IE, Edge)
Pas de support SOP (Same Origin Policy) (IE)
Pas de support CSP (Content Security Policy) (IE)
Pas de support SRI (Subresource Integrity) (IE)
Pas de support pour les profils de navigateur, différentes configurations (IE, Edge)
Manque de transparence organisationnelle (Chrome, IE, Edge)
Commenti