Gestionnaire de mots de passe vs se souvenir des mots de passe
J'ai toujours pensé que vous n'êtes pas censé utiliser un gestionnaire de mots de passe mais garder vos mots de passe dans votre tête, mais dernièrement, j'ai pensé aux avantages et inconvénients d'avoir un gestionnaire de mots de passe.
Certains domaines peuvent être: la longueur du mot de passe, la prévention des enregistreurs de frappe, l'entropie entre les mots de passe, l'accessibilité.
(Je suis pas demandant comment créer un mot de passe difficile mais mémorable! Cela pourrait faire partie de la solution mais pas toute la question.)
Enfin, existe-t-il un moyen de les combiner: garder une moitié dans le gestionnaire et taper l'autre, pour éviter les enregistreurs de frappe.
J'ai écrit cette dernière année sur les avantages et les inconvénients des gestionnaires de mots de passe:
Avantages:
Excellent équilibre entre commodité et sécurité - les gens ont tendance à choisir des mots de passe simples et à réutiliser le même mot de passe (ou la même base) car ils sont nombreux et vous devez les saisir si souvent. Avec 1Password ou Lastpass, vous pouvez générer un mot de passe vraiment solide (au moins pour vos comptes critiques), mais vous avez toujours la possibilité de le remplir automatiquement ou au moins de le mettre par écrit sur votre téléphone. Un avantage réel est également dans des choses comme les questions secrètes, c'est généralement un point faible où un mot de passe vraiment fort a un dictionnaire de 5 lettres Word comme réponse à une question secrète. Vous pouvez désormais également générer des réponses aux questions secrètes fortes.
Portabilité - le problème avec l'utilisation de la fonction de sauvegarde du mot de passe de votre navigateur est que, sauf si vous le combinez avec quelque chose comme la synchronisation Google ou Firefox, il n'est pas portable. Même alors, il n'est actuellement pas disponible sur votre téléphone (du moins pas sur l'iPhone, je ne sais pas si le Android est synchronisé avec Google)
Stockage sécurisé - vos informations sensibles sont cryptées dans le stockage et protégées par un mot de passe principal. C'est bien mieux que de simplement l'écrire quelque part ou de le stocker dans une note ou une feuille de calcul non chiffrée
Pas seulement pour les mots de passe - vous pouvez stocker les coordonnées bancaires, les numéros d'assurance, les cartes de crédit, les numéros de passeport, etc., ce qui peut vous faire gagner du temps lors de la saisie de ces détails et vous fournir un accès sécurisé aux détails lors de vos déplacements. Vous pouvez également stocker des fichiers comme des scans de vos documents ou vos clés privées
Améliorez votre mémoire - sur des sites que j'utilise rarement, et sur des sites gouvernementaux avec ces noms d'utilisateur compliqués, je ne me souviens jamais de ces détails. Lancez l'iPhone, 1Password et tout à portée de main avec une recherche facile
Les gens ajoutent également anti-phishing/anti-malware à cette liste, mais celle avec laquelle je ne suis pas d'accord. Vous devez toujours entrer votre mot de passe principal que les logiciels malveillants peuvent capturer, si vous l'avez sur votre téléphone et saisir à nouveau le mot de passe, il peut être capturé. Si vous lancez des sites Web à partir de l'outil, je suppose que cela pourrait être anti-phishing, mais cela revient à le saisir directement ou à utiliser vos signets
Inconvénients:
Point de défaillance unique, clés du royaume - si vous synchronisez votre trousseau avec votre téléphone ou si vous l'avez sur votre ordinateur de bureau ou portable, certains pourraient y accéder. Si votre mot de passe principal est faible, vous perdez tout en une seule fois. Pour autant que je sache, 1Password n'offre pas une option d'authentification à deux facteurs basée sur le matériel pour le mot de passe principal, ce qui réduirait considérablement le risque de cela. Lastpass propose l'utilisation d'un yubikey comme mécanisme à deux facteurs, mais parce que Lastpass a une application Web, il peut souffrir de vulnérabilités d'application Web (par exemple XSS) qui pourraient laisser les détails de votre compte et au pire des cas, les mots de passe exposés.
Termes et conditions - il s'agit toujours techniquement "d'écrire un mot de passe". Cela peut être contraire aux termes et conditions sur des choses comme votre site Internet Banking. Cela peut réduire ou supprimer toute protection que vous obtenez en cas de fraude. Vous pouvez toujours vérifier cela et ne pas stocker le mot de passe de ces sites
Faites confiance au cloud - il est censé être crypté dans le stockage, mais si vous synchronisez les données, certaines personnes n'auront jamais confiance que 1Password ou Lastpass n'a pas de porte dérobée, ce qui permet potentiellement à un employé malveillant ou mécontent d'accéder. Tous les logiciels ont des vulnérabilités, là encore une grave pourrait permettre à un attaquant d'accéder à vos données
Une autre option consiste à utiliser un coffre-fort de mots de passe stocké dans un appareil chiffré comme un Ironkey. Les versions sont livrées avec un gestionnaire de mots de passe chargé. C'est un peu moins pratique car vous devez le connecter à un lecteur USB et y avoir accès en lecture, mais c'est certainement plus sûr. Il atténue certains des risques mis en évidence ci-dessus, il est chiffré par le matériel et uniquement stocké sur votre appareil. De plus, si votre Ironkey est sur votre porte-clés physique, vous êtes beaucoup moins susceptible de le perdre que votre téléphone ou votre ordinateur portable. Vous pouvez également le détruire à distance si vous parvenez à le perdre.
Pour la destruction à distance en ligne, vous avez besoin de la version entreprise de la clé. La destruction à distance est une fonctionnalité de la console de gestion. Lorsque la clé est branchée, elle téléphone à la maison. Si la destruction a été activée, à ce stade, elle devient inutilisable et toutes les données sont effectivement perdues (croyez-le en jetant les clés de déchiffrement). Il existe également un mode hors ligne (similaire à un iPhone), où vous pouvez le définir pour l'auto-destruction automatique après 10 tentatives de mot de passe principal infructueuses.
Conclusion
Dans l'ensemble, je pense que les avantages l'emportent sur les inconvénients. Si vous n'avez aucune option pour l'authentification à deux facteurs, alors avoir un mot de passe fort est votre seule défense. L'utilisation d'un coffre de mots de passe rend cela beaucoup plus pratique et pratique.
Il n'y a aucune raison pour laquelle vous ne pourriez pas conserver la moitié du mot de passe dans un gestionnaire de mots de passe et rappelez-vous du reste, il serait plus difficile pour un enregistreur de frappe de capturer votre mot de passe, mais le compromis pour la convivialité peut ne pas en valoir la peine. Une meilleure option peut-être d'utiliser deux facteurs pour vos informations vraiment sensibles et un gestionnaire de mots de passe pour le reste
Si quelqu'un a rooté votre boîte, je pense qu'il peut obtenir vos mots de passe de l'une ou l'autre méthode sans trop d'effort. Ils pourront obtenir votre fichier de mots de passe pour le gestionnaire de mots de passe et le mot de passe pour ce fichier via un enregistreur de frappe. Si vous utilisez simplement des mots de passe mémorisés, ils collecteront vos mots de passe au fil du temps lorsque vous les saisirez.
Si quelqu'un a un accès physique à votre machine pour installer et récupérer un enregistreur de frappe, alors il peut se connecter à votre machine si il a un accès physique pendant un temps significatif. S'ils n'ont pas assez de temps pour cela, alors vous seriez plus en sécurité avec le gestionnaire de mots de passe car ils n'ont pas votre fichier de mot de passe (uniquement le mot de passe). S'ils ont le temps d'obtenir un accès root à votre box et d'activer l'accès à distance à leur guise, alors vous êtes dans la même position qu'au premier paragraphe.
Quand on y pense comme ça, il y a très peu, voire rien, que la mémorisation détient sur les gestionnaires de mots de passe. Et que vous et vos mots de passe êtes arrosés si une personne infâme a un accès physique OR pouvez rooter votre machine à distance. La prévention de ces deux attaques est la clé.
Vous avez d'abord besoin d'une bonne sécurité physique pour empêcher les attaques physiques. Ensuite, vous devez empêcher les attaques à distance - implémenter une bonne sécurité du périmètre du réseau, activer un minimum de services et avoir de bonnes pratiques de sécurité pour celles que vous n'avez pas d'autre choix que d'activer. Et pratiquez également des habitudes de navigation sécurisées, gardez votre machine régulièrement à jour, etc., c'est-à-dire les mesures préventives qui vous empêchent de vous enraciner en premier lieu. Et vous devez avoir des sauvegardes au cas où vous vous enracineriez. Si vous vous enracinez, vous devez supposer que vous devez modifier chaque mot de passe, que vous utilisiez ou non un gestionnaire de mots de passe.
À propos de la seule chose que la mémorisation vous achète IMO, il faut peut-être un peu de temps avant que quelqu'un enregistre vos mots de passe importants. Vous sacrifiez beaucoup pour cela. La mémorisation n'est pas évolutive. Plus vous utilisez de sites (et à mesure que le Web imprègne nos vies, le besoin de plus de noms d'utilisateurs et de mots de passe augmente), plus vous avez besoin de mots de passe. Et ils bénéficient de plus en plus d'être forts. Pour les rendre solides, il faut beaucoup d'efforts de la part de l'utilisateur et rendre la mémorisation difficile. Ou si vous les notez sur une feuille de papier, vous avez le même problème que le gestionnaire de mots de passe, sauf qu'il est plus difficile à sauvegarder et à synchroniser, plus visible, plus facile à égarer, en texte brut, etc. Et vous devez les taper en tout temps, plutôt que de copier-coller.
Au moins, l'utilisation d'un gestionnaire de mots de passe vous donne la possibilité d'avoir des mots de passe très forts et différents pour tous les sites Internet que vous utilisez (qui peuvent être nombreux). Et aussi la possibilité de se souvenir facilement des différents noms d'utilisateur, ainsi que des notes sur les sites spécifiques. Si vous mémorisez un mot de passe fort dans votre gestionnaire de mots de passe, ils doivent être en mesure d'obtenir vos touches pour utiliser votre fichier, ou ils ont besoin de votre fichier pour utiliser vos touches.
Les choses ont beaucoup changé en 10 ans. Donc, presque toutes les réponses sont obsolètes dans le post précédent. Ces dernières années, j'ai certainement utilisé un gestionnaire de clés au lieu de me souvenir des clés pour les services en ligne. Mais gardez les secrets locaux dans un endroit/chemin séparé. Il y a 2 directions principales dans lesquelles vos secrets peuvent être compris.
- Depuis Internet. Cela signifie que les services en ligne que vous utilisez ont été piratés ou contraints de révéler votre pass.
- Votre système local a été compromis: malware, vol physique, vol ...
Il est difficile de dire quelle direction est plus risquée de nos jours en général. Mais je dois dire que le 2e risque est beaucoup moins pour un utilisateur responsable. Un utilisateur responsable ne fera pas:
- garder les secrets sur tous les appareils sous forme de texte en clair.
- laissez les autres utiliser vos propres comptes.
- oubliez de garder une sauvegarde de vos secrets de manière cryptée.
- utiliser le même mot de passe pendant plus de 3 mois
- désactivez votre pare-feu et votre logiciel anti-programme malveillant pour plus de commodité
- oubliez pas de mettre à jour les correctifs de sécurité pour votre système ...
Si plusieurs appareils ont été obtenus par les auteurs. Ils ne peuvent toujours rien déverrouiller dans un court laps de temps (plusieurs années) car ils n'ont pas vos clés principales. Donc après cela, un utilisateur responsable changera simplement ses mots de passe dès que possible (dans quelques jours). Puis tout revient à la normale. On pourrait se demander, si nous avons été contraints d'abandonner le pass maître? Eh bien, dans ce cas, nous avons foutu de toute façon. Ils peuvent même vous forcer à transférer vos actifs directement sans prendre la peine de vous presser pour des mots de passe. Si vous sentez que vous courez toujours ce risque, il n'y a qu'une seule chose que vous pourriez trouver utile: utiliser un chiffrement plausiblement déniable.
En revanche, le 1er risque n'est pas celui sous notre contrôle. Et cela arrive souvent ces dernières années. Vous ne pouvez pas vraiment éviter cela. La seule chose que nous pouvons faire est de minimiser les dégâts. En théorie, personne ne peut se souvenir de plus de dizaines de mots de passe et continuer à les changer tous les quelques mois. Donc, si nous n'utilisons pas le gestionnaire de mots de passe, il est plus probable que vous deviez partager une phrase secrète similaire entre différents services. Cela donne aux auteurs des chances d'accéder facilement à vos autres comptes après avoir attaqué avec succès un service. Par conséquent, le risque ici est très élevé. En utilisant le gestionnaire de mots de passe, vous pouvez générer des caractères aléatoires pour le mot de passe toutes les quelques semaines. Même vous ne pourriez pas deviner votre mot de passe. Nous avons donc limité les pertes dans un seul compte. @Rakkhi craignait que plusieurs copies de trousseaux sur différents appareils ne compromettent tout après avoir été physiquement accessibles. Ce risque est très faible ces dernières années, puisque nous l'avons mentionné dans la 2ème direction d'attaque. De plus, vous n'avez même plus besoin de conserver vos trousseaux sur d'autres appareils. En situation d'idée, vous ne conservez vos gestionnaires de mots de passe sur votre PC maître qu'à un endroit sûr. Tous les autres appareils peuvent utiliser le laissez-passer d'application/d'appareil fourni par votre fournisseur de services. Le mot de passe de l'application est une phrase de passe aléatoire générée par votre fournisseur de services comme MS, google, facebook, etc. Ces mots de passe d'application sont enregistrés sur votre appareil cryptés par le mécanisme de déverrouillage/verrouillage de votre appareil. Normalement, chaque appareil aura différents ensembles de mots de passe d'application aléatoires. Vous pouvez révoquer ces mots de passe des pages Web de vos fournisseurs de services. Ainsi, même une personne a réussi à accéder à votre seul appareil mobile, elle peut y accéder pendant quelques minutes, mais vous pouvez désactiver l'accès de cet appareil à vos comptes dès que possible. Si vous configurez correctement le cryptage de votre appareil comme les empreintes digitales ou les dessins, ils ne pourront même pas accéder à vos données dans une longue période, comme nous l'avons mentionné dans le 2e risque.
La conclusion est donc: vous devez absolument utiliser le gestionnaire de mots de passe sur un appareil maître, configurer le mot de passe de l'application pour d'autres appareils et être un utilisateur responsable.
Rakkhi fait une très bonne présentation des avantages et des inconvénients des gestionnaires de mots de passe. Pour ajouter à cela et répondre à votre question sur la possibilité de combiner les approches, il existe un moyen simple de le faire. Vous pouvez utiliser un gestionnaire de mots de passe pour écrire des mots de passe complexes qui seraient trop difficiles à retenir, mais ajouter une mesure de protection supplémentaire en mémorisant un algorithme simple pour transformer vos mots de passe.
Un tel algorithme consiste à concaténer une partie du nom du service avec votre mot de passe (certains l'appellent salage, mais je ne suis pas sûr qu'il soit approprié dans ce cas).
Par exemple, supposons que votre gestionnaire de mots de passe vous donne "Aw! EI10". comme mot de passe Facebook, votre mot de passe réel pourrait être "FB-Aw! eI10". . Le coût d'une telle méthode sur la convivialité est simple (n'oubliez pas de taper votre algorithme, puis collez votre mot de passe de votre gestionnaire) et cela pourrait décourager quelqu'un qui a mis la main sur votre gestionnaire de mots de passe, ou au moins vous donner suffisamment de temps pour réinitialiser vos mots de passe si vous réalisez que votre manager a été compromis.