Choisir un gestionnaire de mot de passe
S’il y a bien un problème universel, c’est le fait d’avoir trop de comptes et de mots de passe à retenir. Pour y remédier, nous avons développé un très mauvais réflexe : utiliser toujours les mêmes mots de passe.Il existe pourtant une solution bien meilleure : les gestionnaires de mot de passe. Par Marc-André Gagnon, spécialiste en sécurité de l’information. Le principe? Entrer tous ses précieux identifiants dans une base de données qui sera quant à elle bien sécurisée (imaginez un coffre-fort numérique). Il existe deux catégories de gestionnaires de mot de passe, ceux locaux et ceux infonuagiques. Gestionnaires de mots de passe locaux Ces gestionnaires conservent vos mots de passe dans une base de données locale sur un appareil en particulier. Vos informations ne quittent jamais votre appareil, et vous avez la responsabilité de faire des sauvegardes de votre base de données manuellement et régulièrement. Dans cette catégorie, deux joueurs sont incontournables : KeePass et PasswordSafe. Ces deux logiciels sont à code ouvert et sont gratuits. Keepass pour Windows a été audité par le European Commission's EU Free and Open Source Software Auditing project (EU-FOSSA) en 2016, et aucune vulnérabilité critique n’a été trouvée dans le logiciel. Ceci offre une bonne garantie que le code source est exempt de failles importantes et de portes dissimulées (backdoors). Étant donné que ces logiciels sont à code ouvert, il existe des dizaines de clones et de versions dérivées, sur toutes les plateformes (Windows, Linux, IOS, Android). Il faut cependant faire attention, car ces clones n’offrent aucune garantie quant aux vulnérabilités. Si vous êtes soucieux de la sécurité, n’utilisez que les versions officielles. Gestionnaire de mot de passe Prix Plateformes KeePass 0$ Windows (Linux / OSX : utilisez le clone KeePassX) Password Safe 0$ Windows Gestionnaires de mots de passe infonuagiques Il existe aussi les gestionnaires de mots de passe infonuagiques, qui conservent votre base de données de mots de passe dans le nuage. Ils représentent un compromis intéressant, en termes de facilité d’utilisation et de sécurité. Ces solutions, si elles sont bien implémentées, sont considérées sécuritaires et offrent en plus des avantages intéressants : Tous les navigateurs sont supportés. Vos mots de passe sont accessibles sur tous vos appareils, en tout temps. Possibilité de partager certains mots de passe avec d’autres utilisateurs (conjoints, enfants, etc.). Vous pouvez surveiller les accès à votre compte, définir des appareils de confiance, etc. Certains gestionnaires offrent de définir un contact d’urgence, qui pourra accéder à votre base de données s’il vous arrivait malheur. Comme tous les services infonuagiques, il y a un coût annuel à payer. Lastpass possède toutefois un forfait gratuit intéressant. Gestionnaire de mot de passe infonuagique Prix ($ US) Permet authentification double facteur Plateformes Lastpass 0$ - 24$ / an Oui Internet Explorer / EDGE Mozilla Firefox Google Chrome Apple Safari Opera 1Password 35,88$ / an Non Chrome Firefox Safari Opera Dashlane 39,99$ / an Oui Internet Explorer Chrome Firefox Safari Est-ce que le fournisseur du logiciel (ou un pirate) peut accéder à mes mots de passe ? Le fournisseur ne peut pas lire votre base de données, car elle est chiffrée grâce à votre mot de passe maître. Toutes les opérations de chiffrement et de déchiffrement sont effectuées localement sur votre appareil, et votre mot de passe maître n’est jamais transmis au fournisseur d’aucune façon. Si la technique est bien implémentée selon les meilleures pratiques (et la technique est complexe), on juge alors qu’il est impossible pour le fournisseur, et pour un pirate éventuel, de déchiffrer vos mots de passe sans votre mot de passe maître. Conseils essentiels Choisissez un mot de passe principal complexe et unique. Essayez 15 caractères ou plus, avec des lettres, chiffres et caractères spéciaux. Étant donné que ce mot de passe protégera tous les autres, vous ne pouvez pas vous permettre d’être paresseux ! Une technique facile à retenir consiste à utiliser la première lettre de chaque mot d’une phrase que vous vous rappellerez. Par exemple, le mot de passe «Iya12pomd1s,ok?» correspond à la phrase « Il y a 12 pommes dans un sac, ok? ». Pour plus de détails concernant cette technique, je vous recommande cet article de Bruce Schneier (en Anglais) . Vous devrez vous rappeler de votre mot de passe maître, car il ne sera pas récupérable. Certains gestionnaires de mots de passe infonuagiques peuvent proposer des options pour en faciliter la récupération, mais les options demeurent limitées, car le fournisseur ne peut pas déchiffrer vos informations, et ne connaît pas votre mot de passe maître. Activez l’authentification à double facteur Pour les gestionnaires de mots de passe infonuagiques, il s’agit d’associer son compte avec son appareil intelligent (d’autres options existent). L’accès à votre base de données sera alors accordé seulement si vous connaissez votre mot de passe maître, ET que vous démontrez que vous avez entre les mains l’appareil intelligent associé au compte. Ainsi, même si votre mot de passe est compromis (par un virus par exemple), l’attaquant sera bloqué par un deuxième facteur. Il s’agit selon moi de la meilleure façon de sécuriser votre compte, avec le moins d’effort. Cela s’applique d’ailleurs à tous vos comptes infonuagiques (Google, Apple, Facebook, Microsoft, Amazon, etc.), et pas seulement votre fournisseur de gestionnaire de mot de passe !Les 7 meilleurs gestionnaires de mots de passe
De nos jours, s’il y a bien un problème universel, c’est le fait d’avoir trop de comptes et trop de mots de passe à retenir. Pour y remédier, nous avons développé un mauvais réflexe : utiliser toujours les mêmes mots de passe. La meilleure solution consiste à faire appel à des gestionnaires de mot de passe. Le principe? Entrer tous ses identifiants dans une base de données qui sera bien sécurisée (imaginez un coffre-fort numérique). Il existe deux catégories de gestionnaires de mot de passe : locaux et infonuagiques. Les gestionnaires locaux Les gestionnaires de mots de passe locaux comme KeePassXC et PasswordSafe vous permettent d’exercer un contrôle total sur vos données. Ils sont gratuits, open source (à code source libre) et ne nécessitent aucune connexion Internet. Version moderne et multiplateforme de KeePass, le gestionnaire KeePassXC est recommandé pour sa compatibilité avec Windows, macOS et Linux. Ces outils sont idéaux pour les utilisateurs avancés qui souhaitent conserver leurs mots de passe localement, sans dépendre du nuage. Fiabilité et sécurité du code source KeePassXC, comme KeePass dont il est issu, est un logiciel open source. Son code source est accessible publiquement, et des experts en sécurité peuvent l’auditer. D’ailleurs, le gestionnaire KeePass pour Windows a été audité en 2016 par le projet EU-FOSSA de la Commission européenne, et on n’a détecté aucune vulnérabilité critique. Cela offre une garantie que le code source est exempt de failles majeures ou de portes dérobées (backdoors). On trouve de nombreux clones et dérivés de KeePass sur les plateformes Windows, Linux, iOS et Android. Il est essentiel de n’utiliser que les versions officielles, comme KeePassXC, qui font l’objet d’un suivi actif et de mises à jour régulières. On bénéficie ainsi d’une meilleure sécurité et d’une plus grande compatibilité. Les gestionnaires infonuagiques Les gestionnaires de mots de passe infonuagiques conservent votre base de données de mots de passe dans le nuage. Ces gestionnaires représentent un compromis intéressant entre la facilité d’utilisation et la sécurité. Lorsqu’ils sont bien implémentés, ils sont considérés comme sécuritaires et offrent plusieurs avantages : Compatibilité avec tous les navigateurs modernes Synchronisation de vos mots de passe sur tous vos appareils, accessibles en tout temps Possibilité de partager certains mots de passe avec d’autres utilisateurs (conjoints, enfants, collègues, etc.) Surveillance des accès à votre compte, définition d’appareils de confiance et, parfois, d’un contact d’urgence en cas d’imprévu Fonctions avancées, comme la détection de mots de passe compromis ou la surveillance du dark Web dans le cas de certains gestionnaires Il faut toutefois éviter certaines options parmi toutes celles qui sont recommandées. À éviter : LastPass Bien que LastPass ait longtemps été un acteur majeur dans le domaine des gestionnaires de mots de passe, plusieurs incidents de sécurité survenus en 2022 ont compromis la confiance des utilisateurs et des experts. Malgré des efforts pour renforcer la sécurité de LastPass, des brèches ont entraîné des répercussions importantes, notamment le vol de données chiffrées et d’actifs numériques. Pour cette raison, nous recommandons de privilégier des solutions plus robustes et transparentes, comme Bitwarden, 1Password, Dashlane ou NordPass. Le fournisseur peut-il accéder à mes mots de passe? Le fournisseur ne peut pas lire votre base de données, car elle est chiffrée et illisible grâce à votre mot de passe maître, que ça soit en local ou dans le nuage. Toutes les opérations de chiffrement et de déchiffrement sont effectuées localement sur votre appareil, et votre mot de passe maître n’est jamais transmis au fournisseur d’aucune façon. Si la technique est bien implémentée selon les meilleures pratiques de sécurité et de chiffrement, on juge qu’il est impossible pour le fournisseur, et pour un pirate éventuel, de déchiffrer vos mots de passe sans votre mot de passe maître. C’est pourquoi il est crucial de choisir un gestionnaire de mots de passe réputé, transparent et audité. Conseils essentiels Pour maximiser la sécurité de vos mots de passe, voici quelques pratiques à adopter : Utilisez un mot de passe maître long et unique (15 caractères ou plus) : Un mot de passe maître robuste est la clé de voûte de votre sécurité. Une phrase de passe : une suite mémorisable d’au moins quatre mots (avec ou sans espaces). Un mot de passe complexe : composé de lettres majuscules et minuscules, de chiffres et de caractères spéciaux. Activez l’authentification à double facteur (2FA) : Cela ajoute une sécurité supplémentaire, même si votre mot de passe est compromis. Ne réutilisez jamais vos mots de passe : Si un mot de passe est compromis sur un site, tous les autres comptes utilisant le même mot de passe deviennent vulnérables. Surveillez les fuites de données et changez vos mots de passe compromis : Certains gestionnaires vous alertent automatiquement si l’un de vos mots de passe apparaît dans une fuite de données. Utilisez un gestionnaire réputé et transparent : Vérifiez les audits de sécurité, la politique de confidentialité et la réputation du fournisseur. Sauvegardez votre mot de passe maître dans un endroit sûr : Si vous le perdez, vous pourriez perdre l’accès à tous vos mots de passe. Évitez d’enregistrer vos mots de passe dans votre navigateur : Les gestionnaires spécialisés offrent une sécurité bien supérieure à celle des navigateurs. Tableaux comparatifs Voici un tableau comparatif des principales solutions, pour vous aider à choisir celle qui correspond le mieux à vos besoins. Notez que certains gestionnaires de mots de passe gratuits peuvent avoir une limite de stockage de mots de passe. Nous avons regroupé les gestionnaires en deux catégories : les solutions locales, pour un contrôle total sur vos données, et les solutions infonuagiques, pour une synchronisation simplifiée. Comparaison de gestionnaires de mots de passe locaux Gestionnaire Prix Plateformes Chiffrement Partage sécurisé Facilité d'utilisation KeePassXC 0 $ Windows, macOS, Linux AES-256 Via des services tiers De moyenne à bonne PasswordSafe 0 $ Windows Blowfish/Twofish Non intégré Basique Comparaison de gestionnaires de mots de passe infonuagiques Gestionnaire Prix Plateformes Chiffrement Partage sécurisé Facilité d'utilisation Bitwarden Gratuit à 56 $/an Windows, macOS, Linux, Android, iOS AES-256 Oui Bonne 1Password 3,75 $ – 5,99 $/mois Toutes les plateformes AES-256 Oui Excellente Dashlane 0 $ – 10 $/mois Toutes les plateformes AES-256 Oui Très bonne NordPass 0 $ – 4,59 $/mois Toutes les plateformes XChaCha20 Oui Bonne Proton Pass 0 $ – 12,49 $/mois Toutes les plateformes XChaCha20 Oui Bonne
