Est-il possible d'être sécurisé sans gestionnaire de mot de passe?
J'ai lu mille fois qu'un gestionnaire de mots de passe est le meilleur moyen de sécuriser de nombreux comptes en ligne, et je pense que je comprends assez bien les raisons. En pratique, il y a un problème: la solution idéale n'existe pas actuellement.
Pourquoi les gestionnaires de mots de passe ne sont pas idéaux
Les MP "cloud" les plus connus comme 1Password et Dashlane sont payés et m'obligent à faire confiance à un système propriétaire à source fermée avec les données les plus importantes dont je dispose. LastPass, à part le problème de source fermée, a une très mauvaise interface utilisateur à moitié cuite, était pleine de bugs la dernière fois que j'ai essayé, et son interface n'est que partiellement traduite dans ma langue. Il est également difficile de l'utiliser avec d'autres applications que mon navigateur, car je dois ouvrir le navigateur, ouvrir l'extension LastPass, rechercher l'entrée, copier le nom d'utilisateur, changer de fenêtre, coller, puis répéter pour le mot de passe. Enfin, j'ai trop lu sur les vulnérabilités qui y ont été découvertes pour être à l'aise avec cela, et je ne fais généralement pas confiance au stockage cloud "gratuit" (comme dans la bière gratuite).
Ensuite, il y a KeePass qui est la meilleure solution que je connaisse. Le principal problème est qu'il n'y a pas d'équivalent iOS qui serait capable de synchroniser deux bases de données (les applications iOS qui sont compatibles avec elle écrasent simplement la version distante avec leur version locale, écrasant potentiellement les modifications de la version distante).
Dans tous les cas, la synchronisation de ma base de données de mots de passe avec mon téléphone nécessiterait soit l'utilisation d'un système propriétaire, soit l'utilisation d'un service cloud standard, que je ne veux pas utiliser pour plusieurs raisons (principalement ne pas vouloir avoir un nouveau processus d'arrière-plan sur mon ordinateur portable pour synchroniser un seul fichier et ne pas vouloir mettre mes données à disposition du cloud et qui peut lire leurs données, même pour une base de données KP chiffrée).
Avec quoi les remplacer
Pour toutes ces raisons, j'essaie actuellement de recommencer à utiliser mon cerveau comme gestionnaire de mots de passe. Je suis capable de me souvenir de quelques mots de passe raisonnablement sécurisés pour les quelques comptes qui m'intéressent vraiment et je travaille sur un schéma de mot de passe qui serait raisonnablement difficile à deviner et à fournir différents mots de passe pour différents sites. Ceux-ci mélangent généralement une valeur secrète dont l'utilisateur se souvient avec des informations sur le site, comme son nom.
Je peux faire fonctionner cette méthode, mais ensuite je m'inquiète, par exemple, des fuites de mot de passe sur certains sites Web avec une mauvaise sécurité, permettant à quelqu'un d'analyser un ou deux de mes mots de passe de "sécurité inférieure" et de deviner le schéma. Le principal problème à résoudre semble être de concevoir un tel schéma qui serait suffisamment simple pour être pratique, tout en résistant à la fuite de quelques mots de passe de temps en temps.
Ce qui m'amène à ma question: est-il possible de créer un si bon schéma de mots de passe, et cette méthode fournirait-elle une sécurité pas sensiblement inférieure à un gestionnaire de mots de passe bien conç?
Personnellement, j'ai ~ 5> = 12 mots de passe entièrement aléatoires mémorisés. Ceux-ci sont utilisés pour les sites clés et le mot de passe est utilisé entre au plus deux sites et s'il est réutilisé, les deux sites ont des adresses e-mail et des noms d'utilisateur différents pour moi.
Pour les autres sites moins critiques, je mappe 3 chaînes de 8 caractères aléatoires + le nom du site. Par exemple, "4QvkmvBt-StackExchange" et je pourrais également avoir "4QvkmvBt-reddit". J'ai mon propre schéma pour mapper des sites sur une chaîne aléatoire. Je suis également extrêmement contrarié par les sites dont la politique de mot de passe ne me permet pas de l'utiliser. Personnellement, je considère cela comme suffisamment sûr. Si jamais je prenais conscience qu'un site avait été compromis, je remplacerais tous les mots de passe en utilisant cette chaîne aléatoire.
C'est assez bon pour moi personnellement. Ce n'est pas aussi fort que les mots de passe qu'un gestionnaire de mots de passe pourrait fournir mais c'est aussi pratique (ils sont toujours disponibles - dans ma tête) et assez bon. S'ils sont stockés correctement par les sites, ils devraient être impossibles à utiliser brutalement. Si quelqu'un obtient un mot de passe en clair, les dommages sont limités. Je n'ai également aucune raison de croire que quelqu'un ferait un effort supérieur à la moyenne pour pénétrer mes comptes.
Je n'aime pas les gestionnaires de mots de passe car c'est un seul point d'échec. Tout gestionnaire de mots de passe majeur sera également ciblé en masse en cas de découverte d'une vulnérabilité. Cependant, pour les personnes qui ne se souviennent pas de longues chaînes aléatoires, je les recommanderais quand même.
Je vais diverger en suggérant que vous pourriez ne pas avoir à abandonner l'utilisation d'un gestionnaire de mots de passe.
Vous semblez avoir réellement un problème technique: aucune application iOS ne peut synchroniser la base de données intelligemment. Cependant, ils semblent pouvoir copier les fichiers dans un endroit fiable qui n'est pas un fournisseur de cloud (?)
Je vois quelques options disponibles:
Ne synchronisez pas les fichiers Keepass
Avez-vous besoin de tous les mots de passe sur le bureau et le mobile? Vous pourriez peut-être faire avec des fichiers Keepass séparés.
Obtenez l'application pour implémenter la fonctionnalité
Vous pouvez l'implémenter vous-même, si vous avez les connaissances, les ressources et le temps requis, ou convaincre quelqu'un d'autre de le faire. Cela peut aller de la simple ouverture d'un rapport de bogue/mention du problème sur une liste de diffusion à l'embauche d'un développeur juste pour cela.
En règle générale, l'attribution d'une prime à la demande devrait cependant aider.
Synchroniser manuellement
Vous n'ajoutez probablement pas de mots de passe trop souvent (par opposition à lecture eux), donc l'exécuter manuellement devrait être faisable (soit en entrant les entrées manquantes à la main ou en déplaçant les fichiers dans la bonne direction) .
Ajouter uniquement des entrées sur mobile
(Si votre application Keepass est capable de copier vers une télécommande)
Générez de nouveaux mots de passe uniquement sur la version mobile. Le bureau agit en lecture seule. Ainsi, comme il a toujours la version maître, il n'y a pas de perte.
Synchroniser sur le bureau
(Si votre application Keepass est capable de copier vers une télécommande)
Faites synchroniser le fichier par l'application mobile pour l'enregistrer sur le bureau dans un dossier différent de celui dans lequel vous utilisez le code d'accès local. Ensuite, vous déclenchez une synchronisation intelligente entre les deux fichiers sur le bureau (vous pouvez copier à nouveau sur l'iPhone ou travailler avec un fichier de bureau plus gros). Notez que vous pouvez exécuter manuellement le "démon" si nécessaire (épargnant ainsi le processus d'arrière-plan).
Je vais vous donner la réponse informatique typique: cela dépend. De quoi cela dépend-il? Le niveau de complexité que vous souhaitez supporter pour assurer votre sécurité.
Il y a plusieurs années, lors d'une conférence sur la sécurité, j'ai entendu un orateur parler de sa procédure de mot de passe. Chaque système auquel il se connecte a son propre mot de passe. Ceux-ci sont changés tous les 30 jours et il stocke les mots de passe sur papier dans son coffre-fort. C'est probablement le moyen le plus sûr de gérer les mots de passe. Mais le facteur PITA est vraiment élevé.
Hector a un bon schéma, mais il en a un qui échoue - il répertorie le site dans le mot de passe. Une fois qu'un mot de passe est compromis, un méchant peut comprendre cet algorithme et démêler tout le match de tir.
N'oubliez pas: plus votre mot de passe est long, plus il faudra de temps pour utiliser la force brute. Chaque personnage supplémentaire rend la durée exponentiellement plus longue si un méchant essaie de deviner le mot de passe.
Une bonne solution intermédiaire consiste à avoir un mot de passe que vous utilisez pour de nombreux sites. Ensuite, tout élément financier ou utile obtient son propre mot de passe. Ainsi, les comptes de messagerie, de banque et d'investissement ont tous des mots de passe différents et longs. Tout le reste (sites Web des fournisseurs, école, pizzeria, etc.) aurait un mot de passe "standard".
Vous pouvez utiliser un gestionnaire de mots de passe sans état (ou sans coffre-fort) tel que https://lesspass.com/ . Fondamentalement, il fait ce que vous faisiez à la main (il génère des mots de passe comme function(master_password,website_name)), mais cette fois, function est une fonction de hachage sécurisée plutôt que de concaténation.
En utilisant un jeton "compteur" par site Web, vous pouvez modifier les mots de passe pour le même site Web.
Cela résoudrait vos préoccupations, je pense.
TLDR
Utilisez une gestion des mots de passe sans état avec un mot de passe principal différent pour chaque site.
Les méthodes de gestion des mots de passe sans état suggérées dans d'autres réponses ont un défaut majeur, si une personne connaît votre mot de passe principal, elle peut générer des mots de passe pour tous vos sites. Il peut être résolu en utilisant un mot de passe principal différent pour chaque site.
Vous pouvez stocker la liste des mots de passe principaux de la manière suivante ou de toute autre manière qui vous convient,
- Créez deux listes - une qui répertorie les sites et l'autre répertorie les mots de passe principaux.
- Utilisez un code numérique pour les lier. Par exemple, la liste un contiendra 1234 - Stack Exchange et la liste deux contiendra 1234 - secretmaster .
- Pour accéder aux listes sur plusieurs appareils, utilisez deux stockages cloud différents avec l'authentification à deux facteurs.
Alternativement, vous pouvez utiliser une seule liste. Il s'agit d'un compromis entre facilité d'utilisation et sécurité. Choisissez ce qui vous convient le mieux.
Je recommande également de changer le mot de passe principal d'un site et donc les mots de passe réels de temps en temps.
Sécurité de cette méthode
Comme toute méthode, ce n'est pas sûr à 100% mais c'est une amélioration par rapport à la suggestion précédente.
- Il est peu probable qu'une personne non autorisée puisse obtenir deux listes de différents fournisseurs de cloud et les lier entre elles.
- Même s'ils obtiennent deux listes, ils ne savent toujours pas quel algorithme vous utilisez pour produire le mot de passe du site.
- De cette façon, vous pouvez également modifier le mot de passe d'un site unique et continuer à utiliser l'algorithme en modifiant le mot de passe principal de ce site. Dans les méthodes précédentes, la modification du mot de passe principal affecte tous les sites.