Dois-je permettre aux navigateurs de mémoriser mes mots de passe et de les synchroniser?
Je me demande, comment est-il sage de permettre à Chrome et Firefox a) de se souvenir des mots de passe b) de les synchroniser? Mon instinct me dit que si ce n'est pas l'homme du milieu qui peut les intercepter, mais Google et Mozilla eux-mêmes peuvent les voir sur leurs serveurs ou à l'aide de leurs navigateurs. Bien sûr, ils disent que non et les mots de passe sont stockés cryptés, mais pouvons-nous le savoir avec certitude? Peut-être que les navigateurs eux-mêmes envoient secrètement les mots de passe à Google et Mozilla.
Je viens de commencer à utiliser keepass récemment, donc au moins j'ai un endroit où mes mots de passe sont stockés localement, car auparavant je les stockais uniquement dans les navigateurs et synchronisés. Et maintenant je pense que je ne devrais plus les synchroniser.
Pour développer ce que @ d1str0 a dit: si le créateur de votre navigateur voulait voler vos mots de passe, il serait trivial de les envoyer à un serveur contrôlé par le fabricant chaque fois que vous les avez entrés - ils n'ont pas besoin de se soucier de vous dire sur les procédures de synchronisation, ou proposer de se souvenir des mots de passe. Par défaut, tous les navigateurs renvoient un certain niveau de données d'utilisation, généralement des rapports d'erreur et des vérifications de mise à jour, qui peuvent facilement masquer les données de mot de passe et de nom d'utilisateur.
Cependant, si un navigateur était en train de faire cela, il y aurait des protestations contre ce fabricant - regardez la rage dirigée contre Microsoft après la sortie de Windows 10 avec le retour de rapports activé.
Keepass et Password Safe sont tous deux open source (donc, étant donné des connaissances suffisantes en programmation et un compilateur de confiance, vous pouvez être sûr qu'ils font ce qu'ils disent qu'ils sont, et rien d'autre - une connaissance suffisante de la programmation peut cependant être un niveau très élevé). Dans les deux cas, les fichiers de mot de passe chiffrés doivent pouvoir être synchronisés en toute sécurité, même vers des sources tierces, tant que le mot de passe sécurisé n'est pas fourni. Briser AES (Keepass) ou TwoFish (Password Safe) sans la clé appropriée (le mot de passe sûr) revient, à notre connaissance, à la force brute.
Lastpass et 1Password nécessitent tous deux de faire confiance aux développeurs et de se synchroniser par défaut sur un emplacement distant. Théoriquement, ils sont sûrs, mais il n'y aurait aucun moyen évident de détecter en eux une vulnérabilité liée au stockage. Si vous êtes préoccupé par Chrome ou Firefox volant des mots de passe, logiquement, les mêmes arguments s'appliquent à ces applications.
Personnellement, j'utilise l'un des services de mot de passe basés sur le cloud mentionnés - J'ai pris en compte les risques et les avantages, et équilibré le niveau de sécurité que je suis prêt à accepter par rapport à la facilité d'utilisation du service, et j'ai décidé que pour mes cas d'utilisation , c'est acceptable. Votre risque acceptable pourrait bien être différent - si vous considérez AES comme vulnérable, par exemple, garder un Keepass en sécurité sur une clé USB cryptée qui utilise un algorithme de cryptage différent pourrait être une option viable, mais le téléchargement du fichier vers un service tiers pourrait être "trop risqué" pour vous.
Cela revient à ce que vous considérez comme sûr, après avoir évalué les options. De nombreux professionnels de la sécurité ont cependant pris en compte ce problème et recommandent généralement d'utiliser un logiciel de type sécurisé par mot de passe plutôt que de permettre aux navigateurs de se souvenir des mots de passe, simplement parce que les navigateurs étaient terribles à ce sujet - ils autorisaient l'accès sans mot de passe principal et utilisaient de mauvaises méthodes de cryptage. Certains de ces problèmes ont été résolus maintenant, mais les vieilles habitudes ont la vie dure!
Si vous craigniez que Chrome ou Firefox vole vos mots de passe, vous ne les utiliseriez pas comme navigateur Web en premier lieu.
Une application comme Keepass ou LastPass peut garder vos mots de passe cryptés avec un mot de passe principal.
Si vous n'utilisez pas de mot de passe principal, votre navigateur Web peut à tout moment décrypter vos mots de passe.
C'est à vous de décider du niveau de sécurité que vous souhaitez.
En plus des réponses concernant les gestionnaires de mots de passe, il y a un moment où vous devez tenir compte de l'incertitude.
Pour prendre l'exemple de KeePass: en plus de faire confiance aux personnes qui examinent le code (ou de se faire confiance pour avoir les connaissances nécessaires pour le réviser vous-même), vous devez également faire confiance au fournisseur du binaire (qu'il correspond au code annoncé). Ou recompilez-le vous-même et assurez-vous que le compilateur est correct. Et que l'OS est également fiable.
C'est beaucoup de "confiance" et il arrive toujours un moment où votre analyse des risques déclare qu'elle est "assez bonne". Ce "assez bon" est ce que vous devez rechercher, par rapport aux autres risques .
Je suis avec @Matthew concernant l'utilisation des gestionnaires de mots de passe en ligne: vous vous protégez contre le risque le plus probable (un site est piraté mais vous avez des mots de passe longs et uniques grâce au gestionnaire de mots de passe) vs la possibilité que Google/la NSA/[mettent votre organisation préférée ici] est après vous. s'ils vous recherchent, ils auront moyens plus efficaces pour accéder à vos données.
Utilisez-vous un ordinateur partagé? Si oui, ou si votre disque dur n'est pas chiffré, alors non, ne lui permettez pas d'enregistrer les mots de passe.
Je ne permettrais pas à un navigateur de se souvenir de mon mot de passe, je trouve l'utilisation d'un gestionnaire de mots de passe beaucoup plus facile. Firefox (et je suppose que Chrome) autorise, mais n'exige pas, l'utilisation d'un mot de passe principal, qui chiffre vos mots de passe stockés (je crois comprendre que les mots de passe sont chiffrés malgré tout, mais sans mot de passe principal, rien n'empêche quiconque d'utiliser les données stockées mots de passe). La plupart des gens ne parviennent pas à utiliser la fonction de mot de passe principal, et je pense que cela est dû à ce qu'elle soit quelque chose qui doit être recherché explicitement. En utilisant Firefox 44.0.2, si un site connaît votre mot de passe, vous pouvez
Cliquez avec le bouton droit sur le champ du mot de passe> Remplir le mot de passe> Afficher les connexions enregistrées> Afficher les mots de passe (accepter l'invite).
Aucune authentification requise, et tout est en texte brut.
Qu'est-ce qui est encore plus simple et fonctionne sur tous les navigateurs?
Faites un clic droit sur le champ du mot de passe> Inspecter l'élément (peut être nommé différemment)> changez le type de "mot de passe" en "texte"
Encore une fois, aucune authentification requise, et tout est en texte brut.
Il me semble que pour l'utilisateur moyen, il existe un compromis raisonnable: demandez à votre navigateur Web d'enregistrer les moins importants et enregistrez le reste de manière plus sécurisée.
J'ai quelque chose comme 100 mots de passe pour divers sites sur Internet. Je ne me soucierais probablement pas de 80 d'entre eux si quelqu'un volait - ils pourraient, au pire, me faire ressembler à un imbécile sur Ars Technica ou similaire. Aucun argent (ou argent insignifiant et limité) n'est associé au site et au mot de passe, et ce n'est pas un mot de passe que j'utiliserais jamais pour quelque chose qui avait de l'argent. Ceux que je laisse Chrome souvenez-vous.
L'autre ~ 15-20 qui me tient à cœur - carte de crédit et identifiants bancaires, mon site d'assurance maladie, etc. - je garde dans un gestionnaire de mots de passe crypté hors ligne. Il est hors ligne, donc en théorie, il pourrait être perdu (même si je l'ai sur deux appareils distincts, mais les incendies de maison et autres sont possibles); mais tous ces mots de passe pourraient être (à une certaine difficulté) récupérés si absolument nécessaire. En général, cependant, ils sont protégés contre le piratage, tant que les mots de passe ne sont pas récupérés à partir d'un piratage du site, c'est bien sûr un mot de passe (et ce sont des phrases secrètes uniques et complexes qui sont probablement relativement sûres même dans beaucoup de ces intrusions).
Enfin, mon mot de passe de messagerie n'est stocké nulle part sauf dans ma tête. C'est parce que c'est le point faible - une attaque d'ingénierie sociale combinée à l'accès à mon courrier électronique pourrait permettre à quelqu'un de récupérer/recréer des mots de passe pour tous les autres emplacements. J'utilise suffisamment de courriels pour pouvoir mémoriser ce mot de passe en toute sécurité (et j'ai bien sûr une méthode de récupération pour cela sinon).
Un compromis consiste à utiliser KeePass avec l'extension Firefox KeeFox qui vous permet d'utiliser automatiquement les mots de passe de votre coffre de mots de passe KeePass avec Firefox, sans les stocker réellement via Firefox.
Un argument en faveur de permettre aux navigateurs de stocker vos mots de passe, que je n'ai vu personne d'autre ici, est qu'il peut vous protéger contre les attaques de phishing.
Chrome remplira automatiquement vos informations de connexion, mais il ne le fera que si l'URL est correcte ... et si le site est bien conçu, l'URL aura été vérifiée par une autorité de certification via HTTPS. Si vous allez sur une page de connexion et que Chrome n'a pas rempli automatiquement les informations d'identification, alors c'est une raison de vous inquiéter et de vérifier à nouveau que vous êtes au bon endroit.
C'est assez simple: confier vos mots de passe à un navigateur qui, même avec de bonnes intentions n'est pas sa fonction principale, est toujours un problème. Surtout si le navigateur a des plugins installés ou si le magasin de mots de passe lui-même n'est pas sécurisé avec un mot de passe maître (fort).
Quelle est l'ampleur d'un problème? Tu dois décider. Je laisse sûrement mes navigateurs privés stocker des mots de passe vers des sites sans importance, mais pas pour mon compte bancaire ou mon compte de messagerie personnel. Le fait que de nombreuses banques en ligne rendent difficile/impossible de laisser votre navigateur stocker le mot de passe (en remplaçant un simple formulaire de saisie par un schéma élaboré, c'est-à-dire en cliquant sur un pavé numérique stylisé avec votre souris à la place) devrait vous dire quelque chose.
Pour KeePass etc., c'est exactement la même pensée, sauf que la barre est plus haute. C'est-à-dire que si vous êtes vraiment paranoïaque, vous ne les utiliserez pas non plus, mais vous pouvez leur faire confiance "un peu plus" que les navigateurs. Combien vous appartient.
Les mots de passe stockés de cette façon sont extrêmement peu sûrs. Essayez simplement d'y accéder et vous remarquerez qu'ils sont accessibles en entrant le mot de passe de votre compte utilisateur Windows/Linux. Il y a eu et il y a probablement des exploits pour changer le mot de passe du compte utilisateur windows/linux ou contourner cette vérification. Vous ne devez donc jamais stocker de mots de passe de cibles de grande valeur comme un compte bancaire en ligne, en particulier sur un ordinateur professionnel.
Pour les connexions en ligne, vous disposez des outils simples, comme Lastpass avec une bonne intégration du navigateur, et ceux qui nécessitent plus de travail, comme Keepass, où vous devez copier et coller des connexions. C'est beaucoup plus de travail lorsque vous devez vous connecter quotidiennement à de nombreux sites.
Si vous faites moins confiance à Lastpass (ou à des outils similaires), vous pouvez toujours l'utiliser pour les sites Web qui ne sont pas si importants.
Sites Web importants - pensez à Paypal, Amazon, Ebay, où la perte de votre compte peut coûter de l'argent, ou à des comptes de messagerie tels que Gmail ou Hotmail, où la perte du compte peut être encore plus problématique car elle permet de réinitialiser les connexions sur un autre site Web.
Sites Web moins importants: connectez-vous pour un forum de jeux, pour Reddit, pour un compte Twitter non actif, pour des forums de discussion, etc. Bonne chance que vous puissiez prouver que vous êtes et récupérer le compte, pas de chance sinon. Ce n'est pas une grosse perte. Et si votre compte Reddit signifie votre vie, pour moi, je m'en fiche vraiment. Je voudrais donc l'enregistrer dans Lastpass, mais peut-être que vous voulez le garder plus sûr. Que garder où vous appartient.
Il y a beaucoup de réponses ici avec de bonnes informations. Comme l'ont souligné certains d'entre eux, chaque fois que vous utilisez un logiciel, vous investissez un certain niveau de confiance dans ce logiciel.
En ce qui concerne les navigateurs et leur utilisation pour stocker vos mots de passe, je ne pense pas que votre principale préoccupation devrait être le fabricant du navigateur. Ce sont généralement des organisations plus grandes qui investissent considérablement dans leur réputation. Ils sont également soumis à un examen minutieux (en particulier chrome et firefox).
La véritable menace provient des sites/pages Web malveillants et des plug-ins de navigateur. Pour cette raison, je pense que l'une des propriétés les plus importantes à rechercher est de savoir si le navigateur vous permet de définir un mot de passe principal pour les mots de passe stockés et si vous devez entrer ce mot de passe principal avant qu'un mot de passe stocké puisse être utilisé.
Chrome en particulier a été critiqué pour ne pas fournir une sécurité suffisante en ce qui concerne leurs mots de passe stockés. Je crois que la situation s'est améliorée, mais cela est dû en grande partie aux cris du public.
Si vous utilisez quelque chose comme des keepas, je ne vois aucun avantage réel à stocker également vos mots de passe dans le navigateur. J'utilise un gestionnaire de mots de passe et je désactive la possibilité pour tous les navigateurs que j'utilise de stocker des mots de passe car il n'offre aucun avantage supplémentaire.
Je trouve que les gens comprennent souvent mal la raison des gestionnaires de mots de passe - ou mettent l'accent sur leurs mauvais aspects. Beaucoup les voient d'un point de vue pratique. Ils permettront toutes les options de commodité sans tenir compte de l'impact sur la sécurité - par exemple, la mise en cache de leur mot de passe principal, le remplissage automatique automatique, etc. Bien que les gestionnaires de mots de passe de tout type puissent être pratiques, l'avantage réel est de réduire le nombre de complexes les mots de passe dont vous devez vous souvenir. Vous devez vous souvenir d'un seul mot de passe très complexe et fort et ce que vous voulez, c'est la possibilité de saisir votre mot de passe principal avant que le système ne remplisse votre "vrai" mot de passe. Vous ne voulez pas vraiment la commodité de saisir automatiquement le mot de passe - acceptez ce niveau de gêne pour vous assurer de garder le contrôle.