Gérer librement ses mots de passe (et les synchroniser)

Bien sûr je ne vais pas faire le tour et vos commentaires pourraient bien ouvrir d’autres horizons et méthodes.

Utilité d’un trousseau de mot de passe

On a de plus en plus besoin d’avoir des mots de passe pour tout, et qui plus est qu’ils soient de plus en plus complexes et sécurisés. Au revoir la date de naissance du fils, son prénom en verlan, 0000, 1234… Vous avez le droit de suggérer en commentaire des sites qui listes les mots de passe pourris. Voler des mots de passe est désormais un métier fait par des gens compétents. Ils trafiquent du mot de passe toute la journée, pour eux vous n’avez probablement pas plus d’originalité qu’un ado qui croit que ces parents ne savent pas qu’il clope.

Donc notre mémoire va être faillible si nous utilisons des mots de passe complexes. Les avantages et qualité du trousseau de mot de passe :

• Un mot de passe pour les gouverner tous : un seul mot de passe balèze pour ouvrir le trousseau qui planquent tous les autres
• Un générateur de mot passe pour éventuellement palier à notre manque d’originalité (plus un mot de passe est illogique, illisible, immémorisable plus il sera difficile à découvrir)
• La gestion d’une authentification multi-facteurs (je déteste mais parfois on a plus le choix)
• Un chiffrage ultra-fort du fichier contenant les mots de passe (sans le mot de passe qui les ouvre, le fichier est totalement illisible.
• Pouvoir stocker des infos de connexions internet, téléphone, mais pas seulement : n’importe quels petits secrets (le code d’un cadenas, les coordonnées d’un compte bancaire en Suisse, les coquineries préférées de nos partenaires de jeux lubriques, la formule secrète de votre pâte à crêpes…)

Désormais la plus part des navigateurs web proposent de la gestion de mot de passe mais ce n’est pas ma tasse de thé, car je ne passe pas ma vie sur le web et j’ai donc besoin de stocker des trucs en dehors du navigateur (même si j’y ferai référence un peu plus loin). L’idée de base est de ne pas mettre tous ces œufs dans le même panier pour ne pas dépendre du navigateur qui peut avoir ses propres petits soucis.

Où enterrer son trésor : Ici, là-bas, ailleurs, partout?

Selon nos usages, où va-t-on stocker notre trousseau de mot de passe.

• en local (sur mon appareil) : L’application génère un fichier très sécurisé sur l’appareil. Inconvénient : si on utilise les mêmes mot de passe depuis plusieurs appareils, faudra balader le fichier manuellement dans un sens et dans l’autre entre nos appareils en faisant attention de recopier sur chaque appareil la dernière version du fichier pour conserver la mise à jour. Galère. Avantage : on peut ne faire confiance qu’à soi-même, nos mots de passe ne sont pas gérer par un tiers. Pratique si on n’a pas vraiment besoin de partager des mots de passe entre appareils et on est indépendant de la connexion à Internet et de l’accès à un serveur.
• dans les nuages : avec un prestataire qui propose d’héberger les mots de passe, ce qui permet de les centraliser et donc de les partager plus facilement
• hybride :un outil local et une méthode de synchronisation automatisée personnalisée. Le meilleur des deux monde, mais peut-être un peu plus geek (au moins dans la représentation des mécanismes)

Bonne nouvelle pour notre navigateur : Les outils locaux comme distants ou hybrides intègrent généralement des connecteurs avec le navigateur web pour aller chercher le mot de passe correspondant au site ou enregistrer de nouveaux mots de passe

Les choix de Vince

Mes choix ou recommandations (qui n’engage probablement que moi, et en sachant que je ne suis pas un spécialiste tatillon de la sécurité)

• Pour la gestion des mots de passe localement, j’utilise l’application Keepassxc disponible dans ma logithèque (il y a aussi keepass2 et keepassx) et sa version mobile KeepassxD (sur F-Droid)(Si vous insistez, je ferai un article dédié)
• Pour les nuages : utilisation de l’application Passman (par exemple chez Zaclys) avec Nextcloud ou VaultWarden. Il faut avoir un prestataire gratuit ou pas qui le propose par exemple cette bande de Chatons (des passman et VaultWarden) ou via le service gratuit basé sur du libre de ProtonPass. C’est la solution que nous utilisons avec quelques associations. Elle facilite le partage « granulaire » (nominal ou groupé) des mots de passe à des membres authentifiés. Firefox et Mozilla propose une gestion dans le navigateur en se créant un compte (https://accounts.firefox.com/) Ce n’est pas la solution que je privilégie, trop dépendante de la connexion. Intérêt dans tous les cas de figure de cette solution, elle facilite la synchronisation du trousseau sur plusieurs appareils.
• hybride : Retour sur ProtonPass qui propose une gestion en ligne, mais aussi une version locale et une extension pour firefox. Il faut se créer un compte, installer l’application à l’aide de l’application mise à dispo par proton (pas directement dans la logithèque, mais je peux expliquer simplement pourquoi et comment gérer cette exception).
  Ma solution très personnelle est un peu geek : j’utilise keepassxc et je paramètre de sorte à ce que le fichier contenant les mot de passe soit dans un répertoire de mon disque dur que je partage avec mes autres machines (un peu comme un « drive »). Soit parce qu’il s’agit d’un répertoire partagé via la synchro nextcloud entre mes différents appareils, soit un répertoire partagé avec mes appareil en utilisant l’application de synchronisation P2P (peer2peer) SyncThing. À la demande, je peux essayer de trouver du temps pour vous cette méthode..