Samedi sécurité : gestionnaire de mot-de-passe, KeePassXC

Un gestionnaire de mot-de-passe permet de générer des mots-passe pseudo-aléatoires forts (et longs), de stocker ceux-ci ou ceux que vous aurez reçu de manière sécuritaire, et de les employer avec un maximum de facilité.J'ai choisi de vous parler de KeePassXC car il est gratuit, open-source et multi-plateforme, et il ne sauve rien dans le cloud et surtout pas vos mots-de-passe.Il s'appelle KeePass for Windows ou Linux, KeePassXC pour macOS 11 et suivants, et alternativement KeePassX bien plus rustique et limité pour d'anciens Mac à partir de OS X 10.7!Le premier usage est la génération de mots-de-passe pseudo-aléatoires forts (longs), ce qui vous évite de vous casser la nénette avec cette étape indispensable et donc va découler la sécurité de tout compte en-ligne ou support de stockage chiffré.Rien ne sert aux sites de mettre du PBKDF2 avec 50 000 rounds, ou de chiffrer vos données en AES 256 bits si votre mot-de-passe est 123456!Ensuite ce mot-de-passe il va permettre de le stocker dans une base-de-données elle-même chiffrée, soit avec un mot-de-passe soit avec une clé privée. Oublions la clé privée, un mot-de-passe ou une phrase suffit, un seul, essentiel à retenir et long de préférence.Ce mot-de-passe sera votre clé d'Ali Baba pour accéder à tous vos comptes et vos supports chiffrés: ne le perdez pas.Outre la problématique du multi-plateforme, la semaine dernière a été évoquée dans les forums le besoin de pouvoir transmettre un accès à un ou des proches.Mon choix personnel a été de laisser un ensemble de documents, avec même un mode d'emploi pour les accès, ainsi que des missives, les mot-de-passe non imprimés mais écrits à la main pour ne pas passer en clair par les outils que j'ai employé dont mon imprimante.Si vous souhaitez donner accès à vos comptes, seul le mot-de-passe de votre gestionnaire de mots-de-passe et celui de votre session ou de vos sauvegardes seront nécessaires. Transmettez les trois de préférence.KeePass permet aussi de créer plusieurs bases-de-données séparées avec différents mots-de-passe, vous pouvez ainsi séparer certains usages d'autres, et ne confier l'accès qu'aux uns ou aux autres.Par exemple si certains de mes comptes GMail seront accessibles, mes comptes FuryDating.com ou AmateursDeGloubiboulga.fr resteront confidentiels pour des raisons évidentes!Le troisième point d'un bon gestionnaire de mot-de-passe est l'usage facile de celui-ci.Vous ne devez pas enregistrer de mot-de-passe dans votre navigateur, son niveau de sécurité est très bas, vous devez utiliser une extension pour votre ou vos navigateurs qui se chargera de coller vos informations de nom de compte ou adresse email et mot-de-passe à chaque fois que vous vous connectez sur un site.Un bon gestionnaire de mot-de-passe rempli ces 3 points: il vous permet de générer des mots-de-passe forts (longs), les stocke en les chiffrant pour empêcher leur accès sans le mot-de-passe maître, tout en ne compliquant pas la connexion aux sites web.Je pense que KeePassxC pour macOS 11 et suivant rempli ce contrat, en étant gratuit et open-source.J'avais un autre gestionnaire avant, commercial mais avec usage personnel gratuit, pas open-source, et du jour au lendemain ils ont décidé que je devais payer pour continuer à pouvoir ajouter de nouveaux comptes: ne tombez pas dans ce piège.Un gestionnaire de mot-de-passe bien utilisé, sans mot-de-passe sauvé dans le navigateur et avec des mots-de-passe générés forts (longs), protège de ces types d'attaque:De vous-même quand vous créez des mots-de-passe forcément faiblesFailles dans les navigateurs pouvant exposer vos mot-de-passe qui y sont sauvésAccès à vos comptes depuis votre session ouverte sur votre ordinateur (en partie)Accès à vos comptes si on a accès en clair à une de vos sauvegardes, non-chiffrée, déchiffrée ou décryptéeEn partie aux malware, car le déchiffrement ne se fait qu'en mémoire, tout reste chiffré sur votre stockage internePiratage des DB d'un site où vous avez un compte, si ils créent un hash solide de vos mot-de-passe, grâce aux mdp forts (longs)Accès à vos compte en-ligne par attaque distante en force brute grâce aux mots-de-passe fortsVos mot-de-passe faibles sur un support externe utilisant pourtant un chiffrement fortTrou de mémoire car un seul mot-de-passe à mémoriser et à noter pour tous vos comptesAllez-y, KeePassXC est gratuit, il y a d'autres logiciels et avoir un gestionnaire de mot-de-passe permet de sécuriser ceux-ci et de gérer leur contrôle accès.Pour le confort vous pouvez choisir un logiciel qui sauve dans le cloud et partage les mot-de-passes entre les appareils, pour la sécurité je le déconseille absolument.