Mooltipass : le gestionnaire de mots de passe matériel open source

Introduction

Le Mooltipass est un gestionnaire de mots de passe sous forme de clé USB sécurisée, conçu pour stocker et injecter automatiquement vos identifiants de manière chiffrée, tout en restant complètement hors-ligne. Son objectif : offrir un coffre-fort portable, difficile à compromettre, même lorsque vous vous connectez sur des machines potentiellement infectées.

À quoi sert le Mooltipass ?

• Stockage hors ligne : aucun accès direct au contenu chiffré sans la présence physique de la clé et la saisie d’un code PIN.
• Injection automatique : se connecte à un ordinateur via USB et saisit vos logins et mots de passe dans les formulaires web ou applications sans jamais les exposer en clair à l’écran ni à la mémoire vive.
• Portabilité : tenez l’équivalent d’une base de données KeePass dans votre poche, sans dépendre de services cloud.

Une sécurité matérielle renforcée

1. Puce sécurisée
   • Le Mooltipass utilise un élément sécurisé (Secure Element) sur une carte à puce fournie, similaire à ce que l'on trouve dans les cartes bancaires.
   • Toutes les clés de chiffrement et les PINs y sont stockés, à l’abri d’extraction physique ou logicielle.
2. Chiffrement bout en bout
   • Les données sont chiffrées par AES-256 avant d’être écrites sur la mémoire interne, et seules la puce et le micro-contrôleur dédiés peuvent les déchiffrer.
3. Protection contre les attaques par force brute
   • Après 3 essais de PIN erronés, la carte se bloque définitivement achevant toute tentative d’attaque.
4. Séparation complète des composants
   • Le firmware open source isole les interfaces USB “host” (consultation de données) et “device” (injection) pour éviter toute fuite accidentelle ou volontaire de données vers l’ordinateur hôte.
5. Exemples
   • L'architecture interne du Mooltipass a été conçue avec plusieurs puces indépendantes, si une faille sur le contrôleur Bluetooth était exploité : l'attaquant aurait la main uniquement sur ce composant.
   • Suite à un signalement de la communauté, le développeur a créé un patch permettant d'avoir une consommation électrique constante lors de l'entrée du code PIN afin qu'il ne puisse pas être déduis par un voltmètre qui pourrait être caché dans le port USB du PC.

Prise en main et limitations

Points forts

• Sécurité à l'épreuve des compromissions de l'ordinateur
• Open source : code auditable par la communauté
• Support multi-plateformes via l’application Moolticute

Difficultés et manques

1. Interface peu intuitive
   • Le menu sur petit écran OLED, contrôlé par un seul bouton, nécessite un temps d’apprentissage.
   • Nombreux paramètres cachés dans des sous-menus.
2. Fonctionnalités manquantes
   • Pas de synchronisation automatique entre plusieurs Mooltipass.
   • Gestion des pièces jointes (notes sécurisées, certificats) rudimentaire.
3. Lourdeur de fonctionnent
   • Contrairement à un gestionnaire de mots de passe logiciel, le Mooltipass demande de multiples manipulations sur le matériel, en particulier quand l'extension navigateur n'est pas utilisée (par exemple dans un autre programme).

Exemple d’utilisation pas à pas

Configuration initiale

• Installez Moolticute sur votre PC/Mac/Linux.
• Connectez votre Mooltipass et définissez un code PIN (4 caractères hexadécimaux).
• Créez votre premier profil : URL, identifiant et mot de passe.

Connexion automatique

• Branchez la clé à votre ordinateur.
• Saisissez votre PIN sur la clé et validez.
• L'extension sélectionne automatiquement le compte correspondant au site visité.
• L’identifiant et le mot de passe sont automatiquement tapés dans le navigateur.
• Pour une autre application ou sans l'extension, sélectionnez le compte dans la liste (flèches Haut/Bas + OK).

Ajout d’un nouvel élément

• Depuis Moolticute, cliquez sur le menu “Identifiants”.
• Renseignez les champs (URL, login, mot de passe).
• Transférez-les sur la clé en suivant les instructions à l’écran.

Cartes multiples et export des données

• Multi-carte
  • Le Mooltipass accepte plusieurs cartes : vous pouvez partager votre trousseau avec un collègue en lui remettant une carte secondaire.
• Sauvegarde
  • Via Moolticute, une sauvegarde complète est possible.
  • Les sauvegardes restent chiffrées jusqu’à déchiffrement local, garantissant qu’aucun tiers n’a accès à vos mots de passe.

Conclusion

Le Mooltipass représente une solution robuste pour qui cherche à éviter les failles des gestionnaires cloud ou logiciels purement déportés. Son approche “tout matériel” garantit un isolement fort, mais son ergonomie perfectible et l’absence de certaines intégrations peuvent freiner les utilisateurs novices.