Choisir un gestionnaire de mot de passe
S’il y a bien un problème universel, c’est le fait d’avoir trop de comptes et de mots de passe à retenir. Pour y remédier, nous avons développé un très mauvais réflexe : utiliser toujours les mêmes mots de passe.Il existe pourtant une solution bien meilleure : les gestionnaires de mot de passe. Par Marc-André Gagnon, spécialiste en sécurité de l’information. Le principe? Entrer tous ses précieux identifiants dans une base de données qui sera quant à elle bien sécurisée (imaginez un coffre-fort numérique). Il existe deux catégories de gestionnaires de mot de passe, ceux locaux et ceux infonuagiques. Gestionnaires de mots de passe locaux Ces gestionnaires conservent vos mots de passe dans une base de données locale sur un appareil en particulier. Vos informations ne quittent jamais votre appareil, et vous avez la responsabilité de faire des sauvegardes de votre base de données manuellement et régulièrement. Dans cette catégorie, deux joueurs sont incontournables : KeePass et PasswordSafe. Ces deux logiciels sont à code ouvert et sont gratuits. Keepass pour Windows a été audité par le European Commission's EU Free and Open Source Software Auditing project (EU-FOSSA) en 2016, et aucune vulnérabilité critique n’a été trouvée dans le logiciel. Ceci offre une bonne garantie que le code source est exempt de failles importantes et de portes dissimulées (backdoors). Étant donné que ces logiciels sont à code ouvert, il existe des dizaines de clones et de versions dérivées, sur toutes les plateformes (Windows, Linux, IOS, Android). Il faut cependant faire attention, car ces clones n’offrent aucune garantie quant aux vulnérabilités. Si vous êtes soucieux de la sécurité, n’utilisez que les versions officielles. Gestionnaire de mot de passe Prix Plateformes KeePass 0$ Windows (Linux / OSX : utilisez le clone KeePassX) Password Safe 0$ Windows Gestionnaires de mots de passe infonuagiques Il existe aussi les gestionnaires de mots de passe infonuagiques, qui conservent votre base de données de mots de passe dans le nuage. Ils représentent un compromis intéressant, en termes de facilité d’utilisation et de sécurité. Ces solutions, si elles sont bien implémentées, sont considérées sécuritaires et offrent en plus des avantages intéressants : Tous les navigateurs sont supportés. Vos mots de passe sont accessibles sur tous vos appareils, en tout temps. Possibilité de partager certains mots de passe avec d’autres utilisateurs (conjoints, enfants, etc.). Vous pouvez surveiller les accès à votre compte, définir des appareils de confiance, etc. Certains gestionnaires offrent de définir un contact d’urgence, qui pourra accéder à votre base de données s’il vous arrivait malheur. Comme tous les services infonuagiques, il y a un coût annuel à payer. Lastpass possède toutefois un forfait gratuit intéressant. Gestionnaire de mot de passe infonuagique Prix ($ US) Permet authentification double facteur Plateformes Lastpass 0$ - 24$ / an Oui Internet Explorer / EDGE Mozilla Firefox Google Chrome Apple Safari Opera 1Password 35,88$ / an Non Chrome Firefox Safari Opera Dashlane 39,99$ / an Oui Internet Explorer Chrome Firefox Safari Est-ce que le fournisseur du logiciel (ou un pirate) peut accéder à mes mots de passe ? Le fournisseur ne peut pas lire votre base de données, car elle est chiffrée grâce à votre mot de passe maître. Toutes les opérations de chiffrement et de déchiffrement sont effectuées localement sur votre appareil, et votre mot de passe maître n’est jamais transmis au fournisseur d’aucune façon. Si la technique est bien implémentée selon les meilleures pratiques (et la technique est complexe), on juge alors qu’il est impossible pour le fournisseur, et pour un pirate éventuel, de déchiffrer vos mots de passe sans votre mot de passe maître. Conseils essentiels Choisissez un mot de passe principal complexe et unique. Essayez 15 caractères ou plus, avec des lettres, chiffres et caractères spéciaux. Étant donné que ce mot de passe protégera tous les autres, vous ne pouvez pas vous permettre d’être paresseux ! Une technique facile à retenir consiste à utiliser la première lettre de chaque mot d’une phrase que vous vous rappellerez. Par exemple, le mot de passe «Iya12pomd1s,ok?» correspond à la phrase « Il y a 12 pommes dans un sac, ok? ». Pour plus de détails concernant cette technique, je vous recommande cet article de Bruce Schneier (en Anglais) . Vous devrez vous rappeler de votre mot de passe maître, car il ne sera pas récupérable. Certains gestionnaires de mots de passe infonuagiques peuvent proposer des options pour en faciliter la récupération, mais les options demeurent limitées, car le fournisseur ne peut pas déchiffrer vos informations, et ne connaît pas votre mot de passe maître. Activez l’authentification à double facteur Pour les gestionnaires de mots de passe infonuagiques, il s’agit d’associer son compte avec son appareil intelligent (d’autres options existent). L’accès à votre base de données sera alors accordé seulement si vous connaissez votre mot de passe maître, ET que vous démontrez que vous avez entre les mains l’appareil intelligent associé au compte. Ainsi, même si votre mot de passe est compromis (par un virus par exemple), l’attaquant sera bloqué par un deuxième facteur. Il s’agit selon moi de la meilleure façon de sécuriser votre compte, avec le moins d’effort. Cela s’applique d’ailleurs à tous vos comptes infonuagiques (Google, Apple, Facebook, Microsoft, Amazon, etc.), et pas seulement votre fournisseur de gestionnaire de mot de passe !Cybersécurité : savez-vous bien vous protéger des fraudeurs ?
Vous vous apprêtez à effectuer des rénovations à votre domicile. Vous avez échangé plusieurs fois par courriel avec votre entrepreneur à propos de votre projet, et vous êtes impatient de voir les travaux débuter. Un jour, l’entrepreneur vous écrit pour vous mentionner qu’en raison d’une annulation il pourrait entreprendre les travaux plus tôt. Selon votre entente initiale, il vous demande toutefois de lui verser une partie de la somme entendue pour la réalisation des travaux afin qu’il puisse se procurer les matériaux nécessaires. Vous effectuez le transfert de fonds selon ses indications. Les jours passent, mais votre entrepreneur ne se présente pas. Vous le contactez et apprenez avec stupéfaction qu’il n’a pas envoyé ce courriel, mais que son compte de messagerie a été piraté. Cette mésaventure, diffusée dans les médias, est celle qu’a vécu une jeune femme habitant à Bristol, au Royaume-Uni. Chaque année, des millions d’internautes comme elle sont victimes de fraudes de toute sorte, dont certaines émanent de stratagèmes si sophistiqués que même les plus prudents d’entre nous n’auraient pu les voir venir. Dans plusieurs cas, ni les banques ni la justice ne peuvent aider les victimes à récupérer les sommes perdues. Outre les pertes financières, notons aussi les conséquences sur la santé, car être victime de tels crimes comporte nécessairement son lot d’angoisse et de frustration. Dans ce contexte, il vaut mieux être toujours prudent lorsqu’on transmet des informations confidentielles en ligne ou lorsqu’on y effectue des transactions financières. Voici quelques conseils simples qui pourraient vous éviter bien des désagréments. Un retour à la base D’abord, à titre de rappel, voici quelques règles de base à respecter. Suivez les conseils d’usage afin de créer des mots de passe sécuritaires. Pour votre ordinateur personnel, il est recommandé d’installer un logiciel antivirus et d’effectuer les mises à jour demandées. Certaines versions de ces outils sont offertes gratuitement en ligne. N’hésitez pas à consulter un expert pour faire votre choix. Assurez-vous également, lorsque vous entrez des informations personnelles ou réalisez des transactions en ligne, d’être sur un site de confiance. Vérifiez bien l’adresse dans la barre de navigation à savoir si elle est légitime. Idéalement, accédez à ces sites en tapant vous-même l’adresse dans la barre de navigation ou en utilisant un favori plutôt qu’en cliquant sur un lien dans un courriel ou sur un site Web. Si vous avez des doutes quant à l’authenticité d’un site ou d’un courriel, communiquez par téléphone avec la personne ou l’organisation concernée afin d’en avoir le cœur net. Et rappelez-vous qu’il est relativement facile et rapide pour des pirates de créer un faux site Web identique à un site officiel. Par conséquent, gardez l’œil ouvert et, dans le doute, évitez d’aller plus loin. Vérifiez également que l’icône de cadenas fermé (ou de clé entière) est bien présente à côté de l’adresse du site consulté pour vous assurer que la communication avec celui-ci est chiffrée, donc sécurisée (l’adresse URL commence par https). Finalement, limitez au maximum la divulgation de vos informations personnelles (numéro de permis de conduire, date de naissance, etc.), notamment dans vos échanges par courriel et sur les médias sociaux. Ces informations pourraient faciliter la vie des fraudeurs lors d’une éventuelle escroquerie et même mener au vol d’identité. Dans ce dernier cas, les conséquences pour la victime sont nombreuses et peuvent s’échelonner sur une longue période. Parmi elles, notons les pertes financières possibles et les effets sur son dossier de crédit. Ajoutons à cela toutes les démarches nécessaires auprès de diverses institutions ainsi que tout le stress associé à un tel événement. À propos, les quiz qui circulent sur les médias sociaux et qui sont en apparence inoffensifs constituent une belle occasion pour des personnes mal intentionnées de recueillir des renseignements personnels (N. B. : cet article est en anglais). Rappelez-vous aussi que les institutions financières ne vous demanderont jamais de renseignements personnels par courriel. Ajoutons en dernier lieu qu’il est conseillé d’être prudent lorsqu’on utilise un réseau sans fil public. Il est très facile pour un pirate informatique de créer des points d’accès sans fil afin d’intercepter vos informations personnelles ou de tenter d’infecter votre ordinateur. Par conséquent, connectez-vous uniquement aux réseaux sans fil connus et protégés par un mot de passe. Lorsque c’est trop beau pour être vrai... Un autre des principes de base à retenir pour diminuer le risque d’être victime de fraude en ligne est celui-ci : lorsqu’une situation semble trop belle pour être vraie, fuyez. Un exemple qui illustre bien cette situation est la fameuse fraude 4-1-9, aussi appelée arnaque nigériane, où un prince vous offre de partager avec lui un important héritage en échange de quelques milliers de dollars pour l’aider à quitter son pays. Vous pensez que personne n’est assez crédule pour tomber dans ce genre de piège ? Eh bien, détrompez-vous. Chaque année, les nombreuses variantes de ce type d’escroquerie coûtent des milliards de dollars aux internautes de partout dans le monde. Des sites répertorient d’ailleurs quelques-unes des plus connues. Lorsqu’on vous offre des prix, sans que vous ayez participé à un concours, des gratuités ou encore des sommes versées en trop pour un bien vendu en ligne, méfiez-vous. Et si vous pensez avoir été victime d’une escroquerie, n’hésitez pas à la signaler le plus vite possible au Centre antifraude du Canada (CAFC), même s’il vous faut ravaler votre orgueil…
