Je vous ai déjà parlé de Dashlane. Franchement c’est le bonheur.
Puis je suis tombé aujourd’hui sur un échange à propos de faiblesses dans le code d’auto-completion de Lastpass. Et là, même si le problème de Lastpass ne se retrouve pas sur Dashlane j’ai eu un malaise… « Merde, mes extensions Chrome et Firefox arrivent à tirer des mots de passe de Dashlane un peu trop facilement »
* * *
Dashlane a une app native très classique. C’est elle qui a les mots de passe (chiffrés), que je déverrouille avec mon mot de passe maître. À partir de la quelle je peux copier les identifiants et mots de passe.
De cette app native, j’ai pu installer les extensions Chrome et Firefox. Je suppose que ça construit une extension qui m’est spécifique, avec des jetons d’accès qui sont différents chez chacun.
Ces extensions peuvent librement ajouter et récupérer les mots de passe depuis l’app native. Rien à faire, rien à déverrouiller. Pour peu que l’app native soit ouverte, ça fonctionne.
* * *
Qu’est-ce qui m’empêche de créer un script ou une application qui ouvre le profil Firefox sur le disque, y trouve les fichiers de l’extension Dashlane, y lit les jetons d’accès et s’adresse à l’app native Dashlane en cours d’exécution pour en extraire tous les mots de passe ?
Ok, il faudrait que mon script ait accès à mon disque dur, ce qui est en soi un problème, mais si j’utilise Dashlane ce n’est pas pour que n’importe quelle application qui a accès à mon disque puisse accéder à mes mots de passe en clair aussi facilement.
En réalité c’est probablement plus complexe. Un petit tour dans les fichiers javascript de Dashlane me fait dire qu’il y a du chiffrement en jeu et qu’il faudrait quelques jours de boulot pour réutiliser le même canal de communication. Rien d’impossible cependant.
En fait je peux même probablement récupérer tout le fichier Javascript et l’utiliser en tapant directement dans l’API interne plutôt que de mimer ce qu’elle sait faire.
Tout au plus il y a peut-être un système qui identifie le nom de l’application source qui s’adresse à l’app native Dashlane. Je doute que ça aussi soit incontournable.
* * *
Bref, c’est moi où j’ai un gros problème avec Dashlane ? Si un techos de Dashlane passe par là, sans forcément révéler tous les mécanismes dans le détail, j’aimerais bien savoir pourquoi je peux faire confiance au système mis en place.
Laisser un commentaire