Mozilla lance officiellement ce nouveau service et revient sur sa raison d’être. Firefox Monitor présente l’avantage d’anonymiser les données de la requête afin d’éviter de rendre les identifiants plus vulnérables qu’ils ne le sont déjà.
Have I Been Pwned est un célèbre service permettant de découvrir si oui ou non une adresse mail a été touchée par une fuite de données (en fonction de sa possible présence dans une base de données volée). Un outil bien pratique mais qui soulève certaines interrogations, à savoir si par son utilisation nous ne prenons pas le risque de rendre notre adresse mail ou nos identifiants plus vulnérables encore.
« Des opérations de « recherche » nécessitent souvent du texte en clair ou des données simplement hachées. Mais, comme Cloudflare l’a décrit dans leur propre intégration HIBP, la recherche avec des données de compte en clair introduit des risques de confidentialité et de sécurité qui permettent à un attaquant, voire au service lui-même, d’utiliser les données pour compromettre le compte recherché » explique Mozilla dans un communiqué.
k-anonymity
La fondation cherche en effet à répondre à ce problème à travers un outil, Firefox Monitor, dévoilé au début de l’été et lancé officiellement aujourd’hui. S’appuyant sur l’API d’Have I Been Pwned (le service a été conçu en partenariat avec Troy Hunt, créateur de HIBP), Monitor va anonymiser les identifiants entrés dans le champ de recherche en les hashant et en n’envoyant que les six premiers caractères du hash au point de terminaison de l’API. Cette seule partie est comparée à la base, reprenant la technique k-anonymity popularisée récemment par 1Password.
« Les données avec k-Anonymity protègent les personnes qui sont les sujets des données de la ré-identification tout en préservant l’intégrité des données » précise Mozilla. De même, afin de réduire les risques d’attaques de force brute destinées à découvrir les identifiants en clair derrière le hash, Monitor ne stocke ni les requêtes ni les résultats dans ses bases de données, les mettant en cache dans une session utilisateur chiffrée.