Où en est la sécurité du gestionnaire des mots de passe ?

[alablo]

Bonjour,
il y a quelques temps, un an peut-être, un expert en failles de sécurité en a découvert une très critique concernant le gestionnaire des mots de passe de FF v.2. Mozilla, si mes souvenirs sont bons, l'a reconnu, et a même conseillé de ne plus stocker ses mots de passe dans le gestionnaire, en attendant des jours meilleurs. Sont-ils venus ? Faut-il passer à la v.3 (mais j'ai pas envie de perdre la moitié de mes extensions) ?
Où en est-on avec cette histoire ? Il me semble que personne n'en parle plus...
Merci pour vos infos.

Message envoyé avec : Mozilla/5.0 (Macintosh; U; Intel Mac OS X; fr; rv:1.8.1.13) Gecko/20080311 Firefox/2.0.0.13

[calimo]

Il faudrait peut-être regarder dans les notes de version : http://www.mozilla.org/projects/securit ... ox2.0.0.13 ?

[alablo]

Merci.
Je pensais trouver ici une réponse quasi immédiate et précise à cette question, mais en fait il semble que la sécurité des mots de passe n'intéresse pas beaucoup dans cette communauté...
Bref, j'ai fait la recherche moi-même et j'ai retrouvé ceci, qui date de novembre 2006 : http://www.zdnet.fr/actualites/informat ... htm?xtor=1
Puis j'ai naturellement trouvé cela : https://bugzilla.mozilla.org/show_bug.cgi?id=360493 ; "RESOLVED FIXED" signifie qu'un correctif au bug a été trouvé, mais est encore en phase de test (si je comprends bien l'anglais de cette page https://bugzilla.mozilla.org/page.cgi?i ... tml#status ).
Je dirais donc qu'il ne vaut mieux pas encore enregistrer ses mots de passe dans le gestionnaire de mots de passe.
À moins que quelqu'un de Mozilla ne m'affirme le contraire.

Message envoyé avec : Mozilla/5.0 (Macintosh; U; Intel Mac OS X; fr; rv:1.8.1.13) Gecko/20080311 Firefox/2.0.0.13

[calimo]

Target Milestone: Firefox 3 alpha5

Mais en même temps il y a des flag blocking, en particulier pour la 1.8.1.1 (Firefox 2.0.0.1), donc ça devrait être corrigé à mon avis.

Visiblement il y a une préférence (activée par défaut) pour "désactiver" la faille : http://kb.mozillazine.org/Firefox_:_FAQ ... Signon..2A

C'est un peu contradictoire tout ça

[alablo]

Hélas, il semble que ce correctif n'ait pas été suffisant, comme l'indique d'ailleurs le statut du bug. Voici le commentaite du découvreur du bug sur le correctif de la v.2.0.0.2 : https://bugzilla.mozilla.org/show_bug.c ... 60493#c388
Le débat suivant ce commentaire est pour moi assez obscur.
N'y aurait-il pas ici un expert Mozilla pour nous renseigner définitivement ?

Message envoyé avec : Mozilla/5.0 (Macintosh; U; Intel Mac OS X; fr; rv:1.8.1.13) Gecko/20080311 Firefox/2.0.0.13