La plupart des programmes antivirus – ou «suites de sécurité», comme ils se nomment eux-mêmes – veulent que vous installiez leurs extensions de navigateur. Ils promettent que ces barres d’outils vous aideront à assurer votre sécurité en ligne, mais elles n’existent généralement que pour faire de l’argent à l’entreprise. Pire encore, ces extensions sont souvent affreusement vulnérables aux attaques.
De nombreuses barres d’outils antivirus sont, au mieux, simplement renommées extensions Ask Toolbar. Ils ajoutent une barre d’outils, modifient votre moteur de recherche et vous donnent une nouvelle page d’accueil. Ils peuvent le qualifier de moteur de recherche «sécurisé», mais il s’agit simplement de faire de l’argent à la société antivirus. Mais dans certains cas, ils font plus que cela – et parfois avec des conséquences imprévues.
Exemple 1: AVG Web TuneUP a brisé la sécurité de Chrome
«AVG Web TuneUP» est installé lorsque vous installez l’antivirus AVG. Selon le Chrome Web Store, il compte près de 10 millions d’utilisateurs. La description officielle de l’extension par AVG indique qu’elle «vous avertira des résultats de recherche dangereux».
En décembre, Tavis Ormandy, chercheur en sécurité chez Google découvert que l’extension ajoute un grand nombre de nouvelles API JavaScript à Chrome lorsqu’elle est installée et que «de nombreuses API sont défectueuses». En plus d’exposer l’intégralité de votre historique de navigation à n’importe quel site Web que vous visitez, l’extension offrait de nombreuses failles de sécurité pour que les sites Web exécutent facilement du code arbitraire sur n’importe quel ordinateur avec l’extension installée.
«Ce qui me préoccupe, c’est que votre logiciel de sécurité désactive la sécurité Web pour 9 millions d’utilisateurs de Chrome, apparemment pour que vous puissiez détourner les paramètres de recherche et la nouvelle page à onglet», écrit-il à AVG. «J’espère que la gravité de ce problème est claire pour vous, le résoudre devrait être votre priorité absolue.»
Quatre jours après son signalement, AVG avait un patch. Comme l’écrit Ormandy: « AVG a soumis une extension avec un » correctif « , mais le correctif était manifestement incorrect. » Il devait fournir des instructions sur la façon de corriger cette faille et AVG a publié un correctif mis à jour un jour plus tard. Le correctif limite les fonctions à deux domaines AVG spécifiques, mais, comme l’a noté Ormandy, les sites Web de ces domaines ont leurs propres failles qui ouvrent les utilisateurs aux attaques.
Non seulement AVG a fourni une extension de navigateur avec un code manifestement cassé, de mauvaise qualité et non sécurisé, mais les développeurs d’AVG ne pouvaient même pas résoudre le problème sans avoir les mains tenues par un chercheur en sécurité de Google. Espérons que les extensions de navigateur sont développées par une équipe différente et que les vrais experts travaillent sur le logiciel antivirus lui-même – mais c’est un bon exemple de la façon dont ces extensions de navigateur antivirus peuvent passer d’inutiles à nuisibles.
Exemple 2: McAfee et Norton ne pensent pas que Microsoft Edge est sécurisé (car il ne prend pas en charge leur module complémentaire)
Si vous avez suivi le développement de Microsoft Edge pour Windows 10, vous saurez qu’il est censé être un navigateur Web plus sécurisé qu’Internet Explorer. Il s’exécute dans un bac à sable et abandonne la prise en charge des anciennes technologies de plug-in non sécurisées comme ActiveX. Il a une base de code plus simplifiée et une variété d’autres améliorations, telles que la protection contre « injection binaire», Où d’autres programmes injectent du code dans le processus Microsoft Edge.
Et pourtant, McAfee – qui est même installé par défaut sur de nombreux nouveaux PC Windows 10 – ne veut vraiment pas que vous utilisiez Microsoft Edge. Au lieu de cela, McAfee vous recommande d’utiliser Internet Explorer, et supprimera utilement Edge de votre barre des tâches et y épinglera Internet Explorer si vous le permettez. Tout cela pour que vous puissiez continuer à utiliser l’extension de navigateur McAfee.
Même si cette extension de navigateur vous a aidé à vous protéger un peu – ce que nous ne croyons pas vraiment – vous seriez beaucoup mieux avec la sécurité améliorée de Microsoft Edge. Norton fait quelque chose de similaire, recommander vous utilisez un «navigateur pris en charge» comme Internet Explorer sous Windows 10.
Heureusement, Microsoft Edge prendra bientôt en charge les extensions de navigateur de style Chrome. Et lorsque c’est le cas, McAfee et Norton peuvent forcer leurs extensions de navigateur sur les utilisateurs Edge et cesser de les rediriger vers l’ancien IE et obsolète.
Exemple 3: Extension de sécurité en ligne d’Avast une fois les annonces et le suivi inclus
En voici un que nous avons déjà couvert: Avast installe un «Avast! Sécurité en ligne »lorsque vous installez la suite de sécurité principale, et ils ont ensuite ajouté une fonctionnalité appelée« SafePrice »à l’extension dans une mise à jour. Cette fonctionnalité était activée par défaut et elle affichait des recommandations d’achat en ligne – en d’autres termes, des publicités qui rapportent vraisemblablement de l’argent à Avast lorsque vous cliquez dessus – pendant que vous naviguez.
Pour ce faire, il vous a attribué un identifiant de suivi unique et a envoyé chaque page Web que vous avez visitée aux serveurs d’Avast, associée à cet identifiant unique. En d’autres termes, Avast a suivi toute votre navigation sur le Web et l’a utilisée pour diffuser des publicités. Heureusement, Avast a finalement supprimé SafePrice de son extension de navigateur principale. Mais les sociétés d’antivirus voient clairement leurs extensions de «sécurité» comme une opportunité d’approfondir le navigateur et de vous montrer des publicités (ou des «recommandations de produits»), pas seulement un moyen de vous protéger.
Ce ne sont pas que des extensions de navigateur: vous devez également désactiver les autres intégrations de navigateur
Srsly Avast? Si vous voulez utiliser le SSL de Chrome, demandez au moins à un stagiaire de parcourir votre analyse X.509 avant de l’envoyer. pic.twitter.com/1zA1E0qnuo
– Tavis Ormandy (@taviso) 25 septembre 2015
Les extensions ne sont qu’une partie du problème. Toute forme d’intégration de navigateur peut créer des failles de sécurité. Les programmes antivirus veulent souvent surveiller tout votre trafic réseau et l’inspecter, mais ils ne peuvent normalement pas voir ce qui se passe à l’intérieur d’une connexion cryptée, comme celle que vous utilisez pour accéder à votre messagerie, à votre banque ou à Facebook. Après tout, c’est le point de chiffrement – pour garder ce trafic privé. Pour contourner cette limitation, certains programmes antivirus exécutent efficacement une attaque «man-in-the-middle» afin de pouvoir surveiller ce qui se passe réellement sur une connexion cryptée. Ceux-ci fonctionnent énormément comme Superfish, remplaçant les certificats par les propres de l’antivirus. Le blog MalwareBytes a expliqué le comportement d’avast! ici.
Cette fonctionnalité n’est généralement qu’une option dans le programme antivirus lui-même et ne fait pas partie d’une extension de navigateur, mais cela vaut la peine d’en discuter. Par exemple, le code d’interception SSL d’Avast contenait un trou de sécurité facilement exploitable qui pourrait être utilisé par un serveur malveillant. «Au moins, demandez à un stagiaire de parcourir votre [code] avant de l’expédier », a tweeté Ormandy après avoir découvert le problème. C’est l’un de ces bogues qu’Avast, une société de sécurité, aurait dû détecter avant de l’envoyer aux utilisateurs.
Comme il l’a expliqué dans les tweets suivants, ce type de code d’intermédiaire ajoute simplement plus de «surface d’attaque» au navigateur, donnant aux sites malveillants un autre moyen de vous attaquer. Même si les développeurs de votre programme de sécurité sont plus prudents, les fonctionnalités qui altèrent votre navigateur sont très risquées pour peu de récompense. Votre navigateur contient déjà des fonctionnalités anti-malware et anti-hameçonnage, et les moteurs de recherche comme Google et Bing tentent déjà d’identifier les sites Web dangereux et d’éviter de vous y envoyer.
Vous n’avez pas besoin de ces fonctionnalités, alors désactivez-les
Voici la chose: même à l’exception des problèmes ci-dessus, ces extensions de navigateur sont toujours inutiles.
La plupart de ces produits antivirus promettent de vous rendre plus sûr en ligne en bloquant les mauvais sites Web et en identifiant les mauvais résultats de recherche. Mais les moteurs de recherche comme Google et les filtres de page de phishing et de logiciels malveillants sont intégrés dans Google Chrome, Mozilla Firefox et les navigateurs Web de Microsoft. Votre navigateur peut se gérer.
Donc, quel que soit le programme antivirus que vous utilisez, n’installez pas l’extension de navigateur. Si vous l’avez déjà installé ou si vous n’avez pas eu le choix (beaucoup installent leurs extensions par défaut), visitez la page Extensions, modules complémentaires ou plug-ins de votre navigateur Web et désactivez toutes les extensions associées à votre suite de sécurité. Si votre programme antivirus a une sorte d ‘«intégration de navigateur» qui rompt la façon dont le cryptage SSL de base est censé fonctionner, vous devriez probablement désactiver cette fonctionnalité aussi.
Il est intéressant de noter que Ormandy – qui a trouvé une variété de failles de sécurité dans de très nombreux programmes antivirus différents – finit par recommander Windows Defender de Microsoft, déclarant que ce n’est «pas un gâchis complet» et «dispose d’une équipe de sécurité raisonnablement compétente». Bien que Windows Defender ait certainement ses défauts, au moins il ne tente pas de s’insérer dans le navigateur avec ces fonctionnalités supplémentaires.
Bien sûr, si vous souhaitez utiliser un programme antivirus plus puissant que Windows Defender, vous n’avez pas besoin de ses fonctionnalités de navigateur pour rester en sécurité. Donc, si vous téléchargez un autre programme antivirus gratuit, assurez-vous de désactiver les fonctionnalités et extensions de son navigateur. Votre antivirus peut vous protéger des fichiers malveillants que vous pourriez télécharger et des attaques sur votre navigateur Web sans ces intégrations.
