Connectez-vous à votre messagerie. Connectez-vous à votre banque. Connectez-vous à Facebook. Connectez-vous à Amazon. Connectez-vous à votre nuage de photos. Pouvez-vous compter combien d’applications nécessitent régulièrement un mot de passe ? Pensez également à votre compte informatique local. Ajoutez ensuite vos partages sur le réseau professionnel ou vos dossiers personnels à l’école. La liste s’allonge rapidement.
Comment gardez-vous une trace de tout cela ?
La plupart des gens essaient quelques astuces. Certains fonctionnent. Certains sont dangereux. Voici ce que vous avez peut-être essayé et pourquoi vous devriez probablement arrêter.
Arrêtez d’utiliser ces méthodes
Mémorisez tout. Cela fonctionne si vous vous connectez quotidiennement. Cela échoue si vous ne visitez un site qu’une fois par mois. Vous avez oublié le mot de passe ? Vous êtes en lock-out. De plus, les cookies du navigateur mémorisent souvent votre session pendant plusieurs jours. Vous ne saisirez peut-être pas le mot de passe manuellement tous les jours, mais vous devez quand même le connaître si le cookie expire.
Réutilisez le même mot de passe. C’est simple. C’est terrible pour la sécurité. Si un pirate informatique pirate votre nom d’utilisateur et votre mot de passe pour un compte, il accède à votre banque, à votre messagerie électronique et à vos réseaux sociaux. Tout cela. Une clé ouvre toutes les portes. Ne fais pas ça.
Écrivez-le sur papier. Idéal seulement si vous cachez le papier là où personne ne peut le trouver. Si quelqu’un trouve la liste, vous êtes exposé. Si vous perdez les bouts de papier, vous êtes perdu. Et mettre à jour la liste à chaque fois que vous modifiez un mot de passe ? C’est une corvée que vous sauterez probablement.
** Enregistrez-le dans un fichier simple sur votre appareil. ** Mieux que le papier. Moins susceptible de se perdre dans un tiroir. Mais si votre disque dur tombe en panne, le fichier disparaît. Plus important encore, si votre ordinateur est piraté, le fichier est vulnérable. Les pirates adorent les fichiers texte brut. Vous pouvez chiffrer le fichier pour plus de sécurité. Cela rend cette méthode similaire à l’option suivante.
Utilisez un logiciel de gestion de mots de passe. Il s’agit de l’utilitaire qui enregistre et récupère tous vos mots de passe. Il peut s’agir d’une application autonome sur votre ordinateur ou d’une fonctionnalité intégrée à un autre outil. Cela limite les itinéraires des pirates vers vos données. Il ajoute des fonctionnalités pour organiser et récupérer des informations. C’est la norme pour une raison.
Dans cet article, nous décomposons les types de logiciels de gestion de mots de passe. Nous examinons les avantages et les risques. Nous examinons des applications spécifiques sur le marché et déterminons lesquelles sont fiables et lesquelles sont aléatoires. Mais d’abord, regardons comment ce problème a évolué.
Historique du problème de gestion des mots de passe
Les premiers ordinateurs personnels étaient simples. Un ordinateur. Un utilisateur. Pas d’internet. Un seul mot de passe suffisait. Certaines personnes ont collé le mot de passe sur un post-it sur le moniteur. Personne ne l’a trouvé à moins d’entrer par effraction dans la maison.
Puis sont arrivés les réseaux. Soudain, vous aviez besoin de mots de passe pour chaque système du réseau. Les notes autocollantes ne tenaient plus sur le moniteur. Les écrire devenait risqué. Vous aviez besoin d’une meilleure solution.
Les concepteurs de logiciels ont créé les premiers outils de gestion de mots de passe. Le but était simple. Gérez une liste de comptes avec des noms d’utilisateur et des mots de passe. Protégez cette liste des pirates. La protection est nécessaire pour fonctionner sur l’ordinateur local et sur les connexions réseau. À mesure que les fonctionnalités évoluaient, ces outils répondaient à des besoins de sécurité plus complexes.
Le problème a explosé avec le World Wide Web dans les années 1990. Chaque site Web avait son propre système utilisateur. Certains sites ont ajouté des seuils pour empêcher les logiciels de deviner les mots de passe. D’autres sites appliquaient des règles strictes. La longueur compte. Le contenu compte. Les règles varient selon le site.
Un site exige des caractères spéciaux comme des points d’exclamation ou des astérisques. Un autre site les rejette entièrement. Vous ne pouvez pas utiliser le même mot de passe partout si les règles sont contradictoires. Vous avez besoin de mots de passe uniques pour chaque plateforme.
L’informatique mobile n’a fait qu’empirer les choses. Les ordinateurs portables vous permettent de surfer sur le Web où que vous soyez. Mais ils augmentent également le risque de perte de données suite à un dommage ou un vol. Ajoutez les smartphones et les tablettes au mélange. Vous gérez désormais les mots de passe sur plusieurs appareils. Pas seulement un ou deux.
Les solutions d’aujourd’hui répondent aux défis du Web et du mobile. Ils sont liés aux navigateurs Web. Ils remplissent automatiquement les formulaires de connexion lorsque vous visitez des sites spécifiés. Le problème ne diminue pas. Le cloud computing remplace les services publics locaux. Les applications Web sont en plein essor. Vous pouvez même trouver la gestion des mots de passe sous forme d’application Web.
Types et avantages des logiciels de gestion de mots de passe
Nous avons identifié les défis. Examinons maintenant les fonctionnalités de base. Différents types de logiciels offrent différents avantages. Certains se concentrent sur la sécurité. D’autres par commodité. Comprendre les types vous aide à choisir le bon outil.
Un logiciel de gestion de mots de passe ne sert pas seulement à gagner du temps. Il s’agit de créer une barrière entre vos données sensibles et les attaquants potentiels.
Nous examinerons ensuite des applications spécifiques. Nous déterminerons lesquels offrent à la fois des fonctionnalités et une sécurité. Lesquels méritent votre confiance ? Lesquels ne sont que du battage publicitaire ? La réponse dépend de vos besoins. Et votre tolérance au risque.
Les développeurs ne se sont pas mis d’accord sur un modèle unique pour les gestionnaires de mots de passe. Le débat se concentre sur l’endroit où se trouvent les données, dans quelle mesure elles sont verrouillées et quels outils supplémentaires sont intégrés pour enregistrer ou récupérer les informations d’identification. En 2011, quatre archétypes distincts étaient apparus. Chacun comporte des compromis spécifiques entre commodité et exposition.
Le bon outil dépend de votre modèle de menace. Si vous ne quittez jamais votre maison, une extension de navigateur suffit. Si vous voyagez avec votre ordinateur portable, le cryptage matériel en vaut peut-être la peine.
Gestionnaires intégrés au navigateur
Les systèmes d’exploitation, les navigateurs et les suites de sécurité sont souvent livrés avec des coffres-forts intégrés. Chrome, Firefox et Internet Explorer avaient tous leurs propres implémentations. Norton 360 a intégré des fonctionnalités de gestion des identités dans sa suite de sécurité plus large. Ces outils sont pratiques. Ils fonctionnent hors des sentiers battus. Ils ne nécessitent aucun logiciel supplémentaire.
Mais ils constituent également l’option la moins sécurisée pour les environnements à haut risque. Vous faites confiance à la posture de sécurité du navigateur pour protéger vos secrets les plus profonds. Si ce navigateur est compromis, vos mots de passe l’accompagnent. Utilisez-le uniquement si vous faites suffisamment confiance à l’écosystème pour ne pas avoir besoin d’une couche de défense secondaire.
Applications de bureau autonomes
C’était le modèle original. Pas de nuage. Aucune intégration de navigateur. Juste une application sur votre machine. KeePass et Aurora sont les meilleurs exemples de cette époque. Aurora offrait un cryptage puissant, des capacités de remplissage de formulaires, un générateur de mots de passe et la possibilité d’exporter des données vers des fichiers lisibles.
Ces applications brillent si vous restez sur un seul appareil. Ils ne partagent pas vos données avec d’autres utilisateurs sur la même machine, pas plus que nécessaire. Ils gardent tout local. L’inconvénient ? Pas de synchronisation. Si vous changez d’ordinateur, vous êtes seul. Vous devez déplacer manuellement le fichier de base de données. C’est rigide. C’est sécurisé. C’est isolé.
Sécurité intégrée au matériel
Certains gestionnaires exploitent les composants physiques intégrés à l’appareil. Les ThinkPad de la série T de Lenovo, par exemple, comportaient un chipset de sous-système de sécurité intégré sur la carte mère. Il ne s’agit pas seulement de stockage de logiciels. C’est du matériel dédié.
Lorsqu’elles sont associées aux outils de gestion de mots de passe de Lenovo, les données sont cryptées et stockées dans ce chipset. La récupération nécessite un mot de passe, une empreinte digitale d’un lecteur intégré, ou les deux. Étant donné que les informations d’identification ne se trouvent pas sur le disque dur, vous pouvez configurer le BIOS pour qu’il exige ce mot de passe ou cette biométrie uniquement pour démarrer la machine.
Cette approche cible une menace précise : le vol physique ou le piratage. Si vous travaillez dans des espaces partagés, voyagez fréquemment ou si vous craignez que quelqu’un vole votre ordinateur portable et retire le disque, le cryptage matériel ajoute une formidable barrière. C’est moins courant que les solutions cloud, mais beaucoup plus difficile à contourner à distance.
Gestionnaires de mots de passe basés sur le Web
Le modèle cloud a changé la donne. Les applications Web telles que RoboForm et PasswordSafe permettaient l’accès à partir de n’importe quel appareil connecté à Internet. Vous vous êtes connecté avec un mot de passe principal et avez récupéré tout le reste.
RoboForm et PasswordSafe reflétaient de nombreuses fonctionnalités d’applications autonomes comme Aurora, mais ajoutaient une accessibilité multiplateforme. Les navigateurs de bureau et mobiles pourraient tous accéder au même coffre-fort. C’est le choix idéal si vous jonglez avec plusieurs systèmes d’exploitation. Vous voulez vos mots de passe partout, instantanément. Le compromis ? Vous faites confiance à un serveur tiers avec vos données. Si ce serveur est piraté, toute votre vie numérique est exposée.
Risques liés à l’utilisation d’un logiciel de gestion de mots de passe
Le point de défaillance unique
Vous ne transporteriez pas vos relevés bancaires, vos clés de maison et vos cartes de crédit dans un sac à dos non sécurisé. Alors pourquoi regrouper tous les identifiants numériques dans une seule application sans poser de questions ? Les gestionnaires de mots de passe sont pratiques, bien sûr. Mais ils concentrent les risques. Si un pirate informatique obtient cette clé principale, il possède tout.
Considérez votre gestionnaire de mots de passe comme votre domicile physique. Il contient tous vos objets de valeur. Une clé ouvre la porte d’entrée. Si cette clé est volée, l’intrus ne se contente pas de prendre votre téléviseur. Ils prennent votre identité, votre argent, vos secrets. Le logiciel lui-même n’a pas autant d’importance que la façon dont vous verrouillez la porte.
Renforcer vos défenses
Vous ne pouvez pas éliminer le risque. Vous ne pouvez que le gérer. Traitez votre mot de passe principal comme des codes de lancement nucléaire.
- La sécurité physique est importante. Ne laissez pas votre ordinateur portable sur la table d’un café pendant que vous prenez un café. Utilisez un verrou Kensington si vous êtes dans un espace public. Le vol est le moyen le plus courant par lequel les identifiants quittent votre possession.
- Verrouillez vos comptes utilisateur. Un mot de passe d’appareil faible est une porte dérobée. Forcer une connexion au démarrage. Forcer une connexion au réveil. Changez ce mot de passe régulièrement.
- Les verrouillages d’écran ne sont pas négociables. Vous éloignez-vous ? Verrouillez l’écran. Toujours.
- Pas de partage. Ne donnez jamais votre mot de passe principal au support informatique, à votre famille ou à vos amis. Jamais.
- Les pare-feu constituent votre première ligne de défense. Gardez-les actifs. Bloquez les accès indésirables au réseau.
- La complexité l’emporte. Choisissez un mot de passe principal dont la force brute prend des mois. Pas ton anniversaire. Pas “mot de passe123”.
- Faites pivoter la clé. Changez votre mot de passe principal tous les deux à trois mois. Et rendez-le différent de la connexion à votre système d’exploitation. S’ils sont identiques, vous avez créé deux fois un point de défaillance unique.
- Aide biométrique. Si vous oubliez vos mots de passe, utilisez une empreinte digitale ou un scan du visage. Cela supprime le fardeau de la mémoire. Mais rappelez-vous : la biométrie est toujours liée à cette clé de chiffrement sous-jacente.
Verrouillez les portes. Vous avez perdu la clé ? Vous êtes sorti. Rendre la serrure trop difficile à crocheter ? Les voleurs passent leur chemin. Mais et s’ils apportaient un marteau ? Ou un pied de biche ? Le verrou n’est pas la seule vulnérabilité. La maison elle-même pourrait être mal construite.
Menaces spécifiques par type de gestionnaire
Les conseils génériques couvrent les bases. Mais certains outils présentent des faiblesses spécifiques. Ignorez-les à vos risques et périls.
Stockage local et logiciels malveillants
Les logiciels qui stockent des mots de passe sur votre disque dur font face à un ennemi principal : les logiciels malveillants. Ce n’est pas magique. C’est du code. Les logiciels malveillants analysent votre système de fichiers à la recherche d’emplacements de stockage de mots de passe connus. Il les trouve. Cela les exfiltre.
Vous arrêtez cela avec un logiciel antivirus fiable et mis à jour. Période. C’est votre bouclier contre le code qui traque vos secrets.
Gestionnaires basés sur un navigateur
Les gestionnaires de mots de passe des navigateurs sont risqués. Ils sont pratiques. Ils sont aussi souvent mal sécurisés.
Prenez Firefox. Il crypte les mots de passe. Ensuite, il écrit la chaîne codée dans un simple fichier texte à côté de l’URL. Toute personne ayant accès à ce fichier peut le lire. La sécurité physique, les mots de passe des utilisateurs et les verrouillages d’écran protègent ce fichier. Mais si un logiciel malveillant s’exécute sur votre ordinateur, il lit ce fichier texte. Facile.
Sécurité du système intégrée
Certains navigateurs font plus d’efforts. Internet Explorer sous Windows utilise le registre Windows. Il exploite le cryptage Triple DES. Pour voir les mots de passe, vous avez besoin d’un accès administrateur au registre.
Si vous avez verrouillé votre compte Windows et bloqué les logiciels malveillants, les mots de passe IE sont relativement sûrs. Mais comptez sur ce confinement. Si votre compte administrateur est compromis, le cryptage ne signifie rien.
Lecteurs chiffrés matériellement
Les puces de sécurité intégrées et le cryptage matériel semblent être la solution ultime. Ce n’est pas le cas. Ils amplifient un risque spécifique : l’oubli de votre mot de passe.
Ces systèmes nécessitent souvent un mot de passe de démarrage. Réglez-le. Oublie ça. Vous ne pouvez pas démarrer votre ordinateur. Les machines d’aujourd’hui fonctionnent pendant des semaines sans redémarrer. Vous pourriez oublier ce mot de passe avant même de redémarrer.
Pire encore, si vous déplacez le disque dur vers une autre machine, le mot de passe de démarrage risque de ne pas vous arrêter. Mais les données cryptées matériellement ? Il reste verrouillé. À moins que le fabricant ne fournisse une clé de récupération, vous avez briqué vos données. Vérifiez les étapes de récupération avant d’activer le cryptage matériel. Ne présumez pas que vous vous en souviendrez. Supposons que ce ne soit pas le cas.
Nous sommes sur la ligne d’arrivée et la dernière catégorie exige une autre prudence. Applications Web. Ces gestionnaires de mots de passe cloud natifs déplacent le fardeau de la sécurité de votre machine locale vers un serveur tiers. C’est la même dynamique que celle que nous observons dans le cloud computing en général : vous confiez votre vie numérique à une entreprise.
Le problème ici ne concerne pas seulement la perte d’un ordinateur portable. C’est une question d’échelle.
Lorsque vous stockez des informations d’identification dans une application Web, vous créez un pot de miel. Les pirates ne souhaitent pas toujours cibler des utilisateurs individuels. C’est inefficace. Ils veulent la base de données principale. Ils veulent un coffre-fort contenant des milliers de clés. Si l’entreprise à l’origine du logiciel fait faillite ou si son infrastructure est violée, les conséquences sont énormes. Il s’agit du même environnement aux enjeux élevés dans lequel opèrent les banques et les agences gouvernementales. La question n’est pas si ils seront ciblés, mais quand.
Alors, comment se protéger lorsque le risque est intégré au modèle économique ?
Choisir le bon fournisseur d’applications Web
Vous ne pouvez pas éliminer complètement le risque. Vous ne pouvez que le gérer. La seule façon de minimiser l’exposition est d’être impitoyable pendant le processus de sélection.
Ne cliquez pas sur la première bannière publicitaire que vous voyez. Creusez plus profondément.
- Recherchez l’entreprise. À qui appartient le logiciel ? Ont-ils des antécédents de violations de données ? Dans quelle mesure sont-ils transparents sur leurs pratiques de sécurité ?
- Lisez les évaluations d’experts. Les audits de sécurité indépendants comptent plus que les textes marketing. Recherchez des entreprises qui ont réellement testé les protocoles de cryptage et d’authentification, et qui ne se sont pas contentées de rédiger une évaluation basée sur la conception de l’interface utilisateur.
Le facteur commodité est réel. Les applications Web se synchronisent instantanément sur tous les appareils. Vous pouvez accéder à vos mots de passe depuis n’importe quel navigateur, n’importe où. Mais vous devez mettre en balance cette facilité avec le potentiel d’une fuite de données catastrophique. Parfois, le compromis en vaut la peine. Parfois, ce n’est pas le cas.
Questions courantes
Qu’est-ce qu’un exemple fiable de logiciel de gestion de mots de passe ?
LastPass est un exemple bien connu. Il existe depuis assez longtemps pour avoir un bilan public, pour le meilleur ou pour le pire. Lors de l’évaluation des options, recherchez des noms établis similaires qui donnent la priorité à la sécurité plutôt qu’aux fonctionnalités flashy.
Regarder vers l’avenir
Ceci conclut l’étude approfondie de la gestion des mots de passe. Le paysage change rapidement. De nouvelles menaces apparaissent. De nouvelles solutions apparaissent. Restez alerte. Gardez vos outils à jour. Et n’oubliez pas qu’aucun logiciel ne permet vraiment de « le configurer et de l’oublier ». Vous êtes toujours la première ligne de défense.
