Les gestionnaires de mots de passe et l'authentification multi-facteurs

Suite à l'article de la semaine dernière qui abordait les problématiques des mots de passe, voici celui qui parle des solutions.

Les gestionnaires de mots de passe

Un gestionnaire de mot de passe est un logiciel servant de coffre-fort pour vos mots de passe, il répond aux problématiques d'avoir des mots de passes complexes et longs, différents à chaque fois mais sans besoin de les retenir.
Ils possèdent généralement une fonction de proposition ou d'auto-remplissage, un générateur de mots de passe, de synchronisation entre divers appareils, de stockage des cartes bancaires et de bloc-notes sécurisé.

Les avantages : n'avoir besoin de retenir que le mot de passe du gestionnaire, un mot de passe fort généré à chaque inscription et tout ça facilement quelques soit l'appareil.

L'authentification à 2 facteurs

Autre méthode de protection : rajouter une couche de sécurité en vous demandant un troisième élément.
Le premier étant l'identifiant (qui vous déclarez être), le deuxième le mot de passe (vous déclarez connaître le secret associé à l'identifiant) le troisième doit être un élément que le propriétaire du compte reçois ou génère en parallèle du service auquel vous accédez.

La méthode la plus commune étant le code temporaire ou TOTP (pour Time based One Time Password).
Cette méthode consiste à demander un code (généralement à 6 chiffres) valable pendant quelques secondes ou minutes ; ce code vous est transmis par SMS, email ou bien est généré par une application.

L'utilisation d'une application est préférable, les email et SMS pouvant être détournés.

Comparatifs

Gestionnaires de mots de passe

Concernant l'utilisation sur mobile (Android/iOS), nous avons retenu le niveau d"utilisation en tenant compte des limites du système et des application mal développée en plus du logiciel testé (exemple : non détection d'un champ > nécessité de rentrer manuellement dans l'application pour y chercher et copier les identifiants).

1 password

Il a une excellente ergonomie pour les débutants, ainsi que quelques raffinements pratiques (notamment la fenêtre qui apparaît quand un login inconnu a été rempli).
Il permet le partage de mots de passes et de notes vers un compte invité (entreprises), un coffre partagé avec un autre utilisateur ou une personne n'ayant pas le service via un lien sécurisé.

L'entreprise est Canadienne mais indique dans ses conditions d'utilisation respecter la loi US, ce qui au vu du Cloud Act Américain implique le partage d'informations vers les autorités États-uniennes sur simple réquisition et sans prévenir l'utilisateur.

Il bénéficie d'un bon rapport qualité/prix.

Bitwarden

L'un des points fort de Bitwarden est sa gestion des identifiants multi-domaine — permettant qu'un même compte soit utilisé sur plusieurs sites ou sur différents accès d'un même site.
En bon gestionnaire de mot de passe, il permet d'ajouter différents accès qu'un même identifiant pourrait avoir.
Une liste de sites ayant différents accès est déjà présente de base et vous pouvez la personnaliser.

Par exemple, ajouter un compte Facebook ne demande pas de manipulation supplémentaire pour se connecter à Messenger, même chose pour Apple et iCloud.

Les serveurs officiels sont aux États-Unis mais on peux l'installer sur son propre serveur assez facilement.

Dashlane

Dashlane est globalement satisfaisant mais sans plus et manque cruellement de fonctionnalités (pas de champs personnalisés, partage avec des personnes n'ayant pas de compte Dashlane et multi-domaine tout juste présent).
L'expérience utilisateur est en montagnes russes (interface épurée et intuitives mais avec traductions manquantes, comptes proposés directement à l'installation mais ne fonctionnant pas correctement ...).

De surcroit, les données étant hébergées chez Amazon, il est soumis aux lois Américaines tout en ayant de prix les plus élevés par utilisateurs et sans fonctions supplémentaires.

KeePassXC

Nous l'avons exclu du comparatif car il s'adresse à des utilisateurs expérimentés : il n'est pas fourni avec une extension de navigateur (plusieurs sont compatibles) et n'a pas d'options de synchronisation ou de partage.

Proton Pass

Petit nouveau sur le marché, il y a encore quelques défaut de jeunesses présents.
Ceci-dit nous le voyons évoluer assez vite et connaissant les autres produits de son éditeur, nous nous attendons à ce que cela continue sur cette voie.

Il démontre déjà des capacités appréciables en particulier pour les entreprises qui peuvent souscrire à une suite de sécurité et collaboration complète.

L'entreprise actuellement en Suisse est déterminée à respecter ses valeurs en terme de confidentialité.

Applications pour TOTP

Fera l'objet d'un prochain article.