Oui : une extension de navigateur disposant des accès nécessaires à une messagerie web peut lire le texte des messages après leur déchiffrement et leur affichage par la page. Cela ne nécessite pas de casser le chiffrement utilisé entre les participants. Il s’agit d’un accès à l’un des terminaux où le contenu est déjà lisible.
Toutes les extensions ne peuvent pas lire tous les sites. Le risque dépend des permissions accordées, du comportement de l’extension et de l’environnement du navigateur. Examinez ce périmètre plutôt que de supposer que toutes les extensions sont des logiciels espions ou qu’une présence dans une boutique officielle élimine le risque.
Comment les scripts de contenu voient une page
La documentation de Chrome sur les scripts de contenu explique que ces scripts peuvent lire et modifier le modèle objet de document de la page, ou DOM, sur les sites auxquels ils sont autorisés à accéder.
Ces scripts s’exécutent normalement dans un monde JavaScript isolé : leurs variables sont séparées de celles de la page. Toutefois, le DOM de la page reste une surface partagée. Si un message ou un brouillon y figure, l’isolation des variables JavaScript ne promet pas que l’extension ne puisse pas lire ce texte.
Cette distinction est importante, car une extension n’a pas besoin de voler une clé privée de chiffrement pour capturer un message lisible. L’accès ordinaire à un site n’accorde pas non plus automatiquement toutes les capacités possibles, comme un accès illimité à tous les cookies du navigateur ; ces détails dépendent de permissions et d’interfaces supplémentaires.
Pourquoi le chiffrement de bout en bout ne résout pas l’accès au terminal
Le chiffrement de bout en bout protège le contenu entre des terminaux autorisés. L’application doit rendre le contenu reçu accessible à la personne qui le lit, et un environnement local compromis ou doté de permissions excessives peut accéder à cette copie lisible.
La frontière cryptographique n’est pas simplement « la socket réseau », et le chiffrement de bout en bout est plus qu’un chiffrement de transport. Mais il ne constitue pas une défense générale contre des logiciels capables d’observer les entrées ou les sorties du terminal autorisé.
Pour la même raison, passer à un échange de clés post-quantique n’empêche pas une extension autorisée de lire un brouillon avant son chiffrement.
Les mesures utiles et les affirmations à éviter
| Mesure | Ce qu’elle peut aider à faire | Ce qu’elle ne garantit pas |
|---|---|---|
| Accès des extensions aux sites restreint | Limiter les endroits où les scripts autorisés peuvent agir | Que l’extension est digne de confiance sur les sites encore autorisés |
| Profil séparé sans extensions ajoutées | Réduire l’exposition aux extensions pour ce profil | Une protection contre les logiciels malveillants du système d’exploitation ou un navigateur compromis |
| Web Workers ou clés non exportables | Réduire certains risques de manipulation des clés | La confidentialité du texte en clair affiché ensuite à l’utilisateur |
| Content Security Policy | Restreindre certains comportements des scripts et ressources de la page | Une barrière universelle contre les extensions autorisées par le navigateur |
| Shadow DOM ou rendu canvas | Modifier le rendu et l’encapsulation | Une frontière de sécurité fiable contre un logiciel local hostile |
Manifest V3 modifie les capacités et les règles des extensions, mais ne supprime pas la capacité documentée des scripts de contenu autorisés à inspecter une page. Affirmer qu’une technique de rendu rend une messagerie « à l’abri des extensions » nécessite des preuves beaucoup plus solides.
Vérifier les permissions de Chrome avant une conversation sensible
Utilisez le guide de gestion des extensions de Chrome pour examiner les extensions installées et leur accès aux sites. Lorsque la fonction est disponible, limitez l’accès aux sites réellement nécessaires ou exigez une activation lors de la sélection. Supprimez les extensions que vous n’utilisez plus.
Surveillez les changements de permissions, mais ne supposez pas que toute mise à jour nuisible doive demander de nouvelles permissions. Le code peut détourner un accès dont il dispose déjà. La documentation de Chrome sur les avertissements de permissions explique quand l’ajout de permissions déclenche un avertissement.
La navigation privée n’est pas automatiquement un environnement sans extensions : Chrome permet d’y activer certaines extensions individuellement. Vérifiez la configuration réelle. De même, n’appliquez pas indistinctement une affirmation concernant les pages web de Chrome à une application de bureau autonome utilisant un autre environnement d’exécution.
Si vous soupçonnez qu’une extension a exposé des messages
Cessez d’utiliser l’environnement concerné pour des communications sensibles. Désactivez ou supprimez l’extension suspecte, mettez le navigateur à jour et examinez les extensions et permissions restantes. Depuis un environnement fiable, vérifiez les sessions du compte et suivez les consignes de récupération du service si des identifiants ou l’accès au compte ont pu être exposés.
Supprimer une extension empêche son fonctionnement futur dans ce navigateur ; cela ne peut pas rappeler des contenus déjà copiés. Un historique de conversation d’apparence normale ne prouve pas qu’aucune divulgation n’a eu lieu.
La limite de Livara
Le modèle de menace de Livara exclut explicitement la protection contre un terminal compromis. Son Proof Lab propose une vérification du hash de l’APK et une démonstration cryptographique limitée, et non une certification que la session du navigateur est exempte d’extensions malveillantes.
Limitez autant que possible le périmètre des permissions des extensions. Un chiffrement robuste des messages et un terminal digne de confiance sont des exigences complémentaires.
