Des scientifiques confirment l’efficacité de la protection du navigateur

Comme l’a démontré une étude conjointe menée par des chercheurs de l’université de Berkeley en Californie et des experts de chez Google, les utilisateurs prêtent plus attention qu’on ne le pense aux avertissements affichés dans un navigateur. Les résultats de cette étude ont été publiés en juin et seront présentés lors du symposium USENIX sur la sécurité qui aura lieu à la mi-août à Washington.  

D’après les auteurs du projet, il s’agit simplement du premier rapport dans le cadre d’une étude élargie sur le terrain consacrée aux moyens de protection des navigateurs. De mai à juin 2013, les chercheurs ont analysé plus de 25 millions de messages d’alerte dans Google Chrome et Mozilla Firefox. Dans la mesure où l’objet principal de l’étude est l’interaction avec l’utilisateur, la majeure partie de l’échantillon était composée d’avertissements qui peuvent être ignorés. Dans ce genre de situation, Chrome propose à l’utilisateur l’option "continuer malgré tout" tandis que Firefox demande à l’utilisateur de confirmer qu’il va accéder au site douteux en connaissance de cause.   

Des compteurs spéciaux ont été mis en place afin de comptabiliser les alertes et le nombre de fois que l’utilisateur a ignorer les messages dans les navigateurs contrôlés. Il se fait que les utilisateurs sont attentifs aux messages du navigateur. Les utilisateurs ignorent moins de 25 % des avertissements de Chrome ou de Firefox sur des sites malveillants ou de phishing et un tiers des avertissements de Firefox qui indiquent que la ressource utilise une connexion non protégée (c.-à-d. que le certificat SSL n’a pas été vérifié ou qu’il manque).

La seule anomalie notable est le désaccord amical des partisans de Chrome sur l’évaluation du niveau de protection de la connexion. Le message sur l’erreur au niveau du certificat de sécurité du nœud Internet est ignoré par 70 % des utilisateurs de Chrome, soit deux fois plus que les utilisateurs de Firefox. Il semblerait que ces notifications de Google doivent être perfectionnées. 

Les chercheurs indiquent que les avertissements de Google peuvent être ignorés d’un seul clic tandis que les utilisateurs de Firefox doivent confirmer à trois reprises leur intention d’ignorer le message. Toute fois, un autre élément permet d’expliquer cette différence si marquée entre les nombres de visites risquées. Ainsi, les alertes de Mozilla utilisent une image qui évoque la police et le mot "untrusted" (non fiable) dans l’en-tête. C’est une application de l’ingénierie sociale. Les utilisateurs de Firefox peuvent également enregistrer les exceptions et accéder automatiquement aux sites sélectionnés. 
La majorité des utilisateurs de Google Chrome ne souhaitent pas "prêter attention aux messages utiles ou sont agacés par les faux positifs qui les lassent". Quoi qu’il en soit, un taux de refus des avertissements aussi élevé n’est pas souhaitable. 

Adrienne Porter Felt, qui a contribué au rapport, travaille chez Google et insiste sur le fait que Google a déjà commencé à tester ses notifications SSL afin d’améliorer l’interaction avec les utilisateurs. Il est tout à fait possible que Chrome propose également à l’avenir d’enregistrer les exceptions.
  

En dépit de ces tristes statistiques au niveau des alertes SSL de Google, les conclusions des auteurs sont assez positives pour la protection des navigateurs  L’affichage des avertissements sur les menaces dans le navigateur a de l’avenir selon eux et il ne faut pas hésiter à promouvoir cette fonction. Et les chercheurs de conclure : "La pratique démontre que les messages de sécurité peuvent avoir un effet positif. Les experts en sécurité et les développeurs de structure de logiciels ne doivent pas ignorer la possibilité d’offrir des informations utiles à l’utilisateur final." 

http://threatpost.com/uc-berkeley-study-confirms-browser-security-warnings-proving-effective/101266

Posts similaires

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *