Avec un gestionnaire de mots de passe, il vous suffit de cr\u00e9er un mot de passe fort et de vous en souvenir.<\/strong><\/p>\nBien que vous deviez faire confiance au gestionnaire de mots de passe que vous choisissez, l’utilisation d’un gestionnaire de mots de passe est plus s\u00e9curis\u00e9e que les alternatives. Les gestionnaires de mots de passe que nous recommandons n’ont jamais vu leur mot de passe compromis, mais de nombreuses personnes ont eu des probl\u00e8mes en r\u00e9utilisant les mots de passe. Exploiter ces mots de passe r\u00e9utilis\u00e9s est souvent la fa\u00e7on dont les attaquants piratent les comptes de nos jours .<\/p>\n
<\/p>\n
Comment les gestionnaires de mots de passe s\u00e9curisent vos mots de passe<\/h2>\n
Nous – et de nombreux autres sites – recommandons 1Password et LastPass comme nos meilleurs choix. Les deux prot\u00e8gent votre coffre de mots de passe avec un cryptage fort (AES-256, en particulier), m\u00eame lorsqu’il est stock\u00e9 dans le cloud. Bien que les mots de passe se trouvent sur votre PC, t\u00e9l\u00e9phone ou tablette, ils sont prot\u00e9g\u00e9s par un \u00abmot de passe principal\u00bb que vous connaissez, ce qui les rend illisibles par quiconque ne poss\u00e8de pas ce mot de passe. Sur les appareils modernes, vous pouvez \u00e9galement d\u00e9verrouiller votre coffre-fort avec une authentification biom\u00e9trique, comme Face ID ou Touch ID sur les iPhones.<\/p>\n
Les deux services affirment que le mot de passe principal ne quitte jamais votre appareil et qu’ils ne peuvent pas acc\u00e9der \u00e0 vos mots de passe s’ils le souhaitent – ils n’ont \u00abaucune connaissance\u00bb de vos mots de passe. Ils ont subi des audits tiers et des revues de code. Aucun n’a jamais subi de violation grave, et les deux sont francs et transparents quant \u00e0 la fa\u00e7on dont ils prot\u00e8gent vos donn\u00e9es. Consultez les sites Web 1Password et LastPass pour plus de d\u00e9tails.<\/p>\n
Vous pr\u00e9f\u00e9rez le faire vous-m\u00eame? Des gestionnaires de mots de passe open source comme Bitwarden et KeePass existent \u00e9galement. Vous pouvez utiliser ces applications open-source pour stocker votre mot de passe sur vos propres appareils ou serveurs. Par exemple, vous pouvez configurer votre propre serveur de synchronisation pour Bitwarden ou synchroniser manuellement une base de donn\u00e9es KeePass entre vos appareils. Ce sera probablement plus complexe et plus de travail – et les applications ne sont pas aussi conviviales – mais si vous pr\u00e9f\u00e9rez un logiciel open source, des options sont disponibles.<\/p>\n
<\/p>\n
Pouvez-vous faire confiance aux soci\u00e9t\u00e9s Password Manager ?<\/h2>\n
n fin de compte, vous faites confiance aux soci\u00e9t\u00e9s de gestion de mots de passe ici. Bien s\u00fbr, les entreprises promettent de garder vos mots de passe en s\u00e9curit\u00e9, mais elles pourraient mettre \u00e0 jour leur logiciel pour capturer vos mots de passe, ou une faille de s\u00e9curit\u00e9 massive pourrait ouvrir vos mots de passe pour attaquer. Les entreprises sont audit\u00e9es pour la s\u00e9curit\u00e9, mais que se passe-t-il si elles tournent mal?<\/p>\n
Bien s\u00fbr, c’est un risque. Vous faites confiance \u00e0 votre gestionnaire de mots de passe comme \u00e0 toute autre application que vous utilisez. Il en va de m\u00eame pour toute application sur votre PC ou la plupart des extensions de navigateur: ils pourraient vous espionner et t\u00e9l\u00e9phoner \u00e0 la maison, en signalant vos mots de passe, num\u00e9ros de carte de cr\u00e9dit et communications \u00e0 quelqu’un d’autre.<\/p>\n
Mais cela ne s’est pas encore produit. Ce sont des entreprises r\u00e9put\u00e9es dans le domaine de la s\u00e9curit\u00e9. Il est probablement plus dangereux d’installer des extensions de navigateur al\u00e9atoires – dont beaucoup ont un acc\u00e8s complet \u00e0 tout ce qui se passe dans votre navigateur et pourraient t\u00e9l\u00e9phoner \u00e0 la maison avec ces d\u00e9tails – que de stocker vos mots de passe dans un gestionnaire de mots de passe.<\/p>\n
<\/p>\n
Nous utilisons des gestionnaires de mots de passe et les recommandons<\/h2>\n
Nous suivons nos propres conseils et utilisons \u00e9galement des gestionnaires de mots de passe comme 1Password et LastPass sur How-To Geek. Les gestionnaires de mots de passe int\u00e9gr\u00e9s dans les navigateurs comme Chrome et Safari d’Apple s’am\u00e9liorent, mais ils ne sont tout simplement pas aussi puissants ou complets.<\/p>\n
En plus de la s\u00e9curit\u00e9, les gestionnaires de mots de passe offrent de nombreux avantages pratiques. Vous pouvez facilement partager vos mots de passe avec un ami, un membre de la famille ou un coll\u00e8gue. Vous pouvez remplir automatiquement ces mots de passe sur mobile sans les taper, m\u00eame sur un iPhone ou un iPad . Les gestionnaires de mots de passe comme 1Password et LastPass fournissent des alertes si l’un des mots de passe que vous utilisez a \u00e9t\u00e9 viol\u00e9 lors d’une attaque et vous recommandent des mots de passe que vous devez modifier. C’est une grande am\u00e9lioration par rapport \u00e0 essayer de garder une trace de tous vos mots de passe sans aucune aide.<\/p>\n
<\/p>\n
Les gestionnaires de mots de passe ont une faille de s\u00e9curit\u00e9. Mais vous devez quand meme en utiliser un.<\/h2>\n
Une nouvelle \u00e9tude a identifi\u00e9 des failles de s\u00e9curit\u00e9 dans cinq des gestionnaires de mots de passe les plus populaires.<\/p>\n
Maintenant, pour quelques conseils contre-intuitifs: je pense toujours que vous devriez utiliser un gestionnaire de mots de passe. Donc , faire les hackers \u00e9thiques avec Independent Security Evaluators qui sont venus me voir avec des nouvelles des d\u00e9fauts – et d’ autres professionnels de la s\u00e9curit\u00e9 , j’ai parl\u00e9 \u00e0 propos de l’\u00e9tude, publi\u00e9e mardi . Vous n’arr\u00eateriez pas d’utiliser une ceinture de s\u00e9curit\u00e9, car elle ne pourrait pas vous prot\u00e9ger contre tout type d’accident de v\u00e9hicule. Il en va de m\u00eame pour les gestionnaires de mots de passe.<\/p>\n
Mais la recherche, qui r\u00e9v\u00e8le que les utilisateurs du gestionnaire de mots de passe sont vuln\u00e9rables aux attaques de logiciels malveillants cibl\u00e9s, met en lumi\u00e8re les moyens de renforcer nos d\u00e9fenses. Et cela t\u00e9moigne d’une v\u00e9rit\u00e9 plus grande qui se perd dans les gros titres sur les violations et les bogues: la s\u00e9curit\u00e9 en ligne ne consiste pas \u00e0 \u00eatre piratable; il s’agit de ne pas \u00eatre le fruit le plus bas.<\/p>\n
Les gestionnaires de mots de passe sont des programmes qui conservent toutes vos informations de connexion dans un coffre-fort en ligne. Ce sont des outils essentiels pour rester en s\u00e9curit\u00e9, car la chose la plus ennuyeuse sur Internet – les mots de passe – conduit les gens \u00e0 commettre l’erreur de s\u00e9curit\u00e9 n \u00b0 1 – r\u00e9utiliser les mots de passe. Les pirates savent que nous le faisons, ils prennent donc les mots de passe d’un site pirat\u00e9, puis les essaient sur de nombreux autres. L’utilisation d’un programme pour garder une trace de tous vos mots de passe uniques n\u00e9cessite un certain ajustement, mais ils deviennent plus simples et peuvent acc\u00e9l\u00e9rer la connexion aux choses.<\/p>\n
La question qui a hant\u00e9 ces programmes est: comment est-il possible de mettre tous vos mots de passe dans le m\u00eame panier? Si quelqu’un le vole, vous \u00eates arros\u00e9.<\/p>\n
Pour des raisons de responsabilit\u00e9, des audits comme le nouveau par ISE sont importants. Il a trouv\u00e9 que les applications Windows 10 pour 1Password , Dashlane , KeePass , LastPass et RoboForm laissaient certains mots de passe expos\u00e9s dans la m\u00e9moire d’un ordinateur lorsque les applications \u00e9taient en mode \u00abverrouill\u00e9\u00bb. Pour un pirate ayant acc\u00e8s au PC, les mots de passe qui auraient d\u00fb \u00eatre cach\u00e9s n’\u00e9taient pas plus s\u00fbrs qu’un fichier texte sur le bureau de votre ordinateur. (Les chercheurs ont \u00e9tudi\u00e9 uniquement les applications Windows, mais disent que cela peut \u00e9galement affecter les Mac Apple et les syst\u00e8mes d’exploitation mobiles.)<\/p>\n
1Password, LastPass et Roboform ont m\u00eame expos\u00e9 des mots de passe principaux, utilis\u00e9s pour d\u00e9verrouiller tous vos autres mots de passe. \u00ab\u00a0Le bouton de verrouillage des gestionnaires de mots de passe est cass\u00e9 – certains plus s\u00e9v\u00e8rement que d’autres\u00a0\u00bb, a d\u00e9clar\u00e9 le chercheur principal Adrian Bednarek.<\/p>\n
Les entreprises ont eu diverses r\u00e9ponses. LastPass et RoboForm m’ont dit qu’ils publieraient des mises \u00e0 jour cette semaine. Dashlane a d\u00e9clar\u00e9 qu’il avait document\u00e9 le probl\u00e8me depuis un certain temps et qu’il travaillait sur des correctifs, mais qu’il avait des probl\u00e8mes de s\u00e9curit\u00e9 plus prioritaires. KeePass et 1Password l’ont ignor\u00e9 comme une limitation connue avec Windows et un risque accept\u00e9.<\/p>\n
Casey Ellis, le fondateur de Bugcrowd , un site permettant aux chercheurs de signaler les vuln\u00e9rabilit\u00e9s, m’a dit que les entreprises doivent peser le risque de chaque bogue d\u00e9couvert et d\u00e9terminer les priorit\u00e9s. \u00ab\u00a0Les soci\u00e9t\u00e9s de mot de passe ont certaines des normes de s\u00e9curit\u00e9 les plus \u00e9lev\u00e9es, et les gens devraient pouvoir dormir assez bien la nuit en sachant que ces soci\u00e9t\u00e9s prennent les pr\u00e9occupations au s\u00e9rieux\u00a0\u00bb, a-t-il d\u00e9clar\u00e9. \u00ab\u00a0Les vuln\u00e9rabilit\u00e9s ne sont pas myst\u00e9rieuses – elles sont le produit du fait que les gens ne sont pas parfaits – et les trouver est une bonne chose.\u00a0\u00bb<\/p>\n
Pourquoi n’est-ce pas un probl\u00e8me de pantalon en feu? Parce qu’en ce moment, nous sommes en avance sur la menace. Il n’y a aucune preuve que les pirates ciblent les PC des utilisateurs individuels du gestionnaire de mots de passe. La question est: combien de temps cela durera-t-il?<\/p>\n
<\/p>\n
Le risque est relatif<\/h3>\n
Oui, il y a un risque \u00e0 stocker tous vos mots de passe en un seul endroit avec un gestionnaire de mots de passe. Mais il est utile de consid\u00e9rer le risque comme un pirate informatique: il n’y a ni \u00abs\u00fbr\u00bb ni \u00abdangereux\u00bb. Il y a \u00abplus s\u00fbr que\u00bb ou \u00abmieux que\u00bb. .<\/p>\n
En supposant que le bunker n’est pas une option pour vous, vos choix sont: r\u00e9utiliser les mots de passe ou faire confiance \u00e0 un gestionnaire de mots de passe.<\/p>\n
Ce dernier ne serait certainement pas plus s\u00fbr si les soci\u00e9t\u00e9s de gestion de mots de passe exposaient des millions de nos mots de passe \u00e0 la fois par des violations de leurs serveurs. Les entreprises cryptent nos secrets et ne stockent pas nos mots de passe principaux utilis\u00e9s pour d\u00e9verrouiller le cryptage. Si leurs serveurs sont pirat\u00e9s, les donn\u00e9es sont englouties sans le mot de passe principal que seul chaque utilisateur conna\u00eet. (Choisissez donc un mot de passe ma\u00eetre unique, ne le partagez jamais avec personne et ne l’oubliez certainement pas.)<\/p>\n
Le bogue trouv\u00e9 par ISE pose un autre type de risque: les mots de passe expos\u00e9s dans la m\u00e9moire des PC des utilisateurs individuels. Toute exposition \u00abmet inutilement en danger les dossiers secrets des utilisateurs\u00bb, \u00e9crit Bednarek dans son rapport. Mais cette d\u00e9couverte est loin d’\u00eatre la pire des hypoth\u00e8ses. Pour regarder dans la m\u00e9moire de votre PC, un pirate informatique devrait probablement \u00eatre assis devant votre ordinateur ou vous inciter \u00e0 installer un logiciel malveillant qui contr\u00f4le votre ordinateur.<\/p>\n
Les pirates pr\u00e9f\u00e8rent g\u00e9n\u00e9ralement les attaques de masse plut\u00f4t que de s’en prendre aux individus, sauf s’il s’agit d’un individu de tr\u00e8s grande valeur. Pour les attaques de masse, il y a beaucoup de fruits \u00e0 suspendre, comme toutes ces personnes qui r\u00e9utilisent encore des mots de passe.<\/p>\n
L’inqui\u00e9tude pour Bednarek: \u00e0 mesure que de plus en plus de personnes utilisent des gestionnaires de mots de passe, les fabricants de logiciels malveillants pourraient commencer \u00e0 cibler leurs PC pour voler des mots de passe. Multipli\u00e9 par des millions d’utilisateurs du gestionnaire de mots de passe, un faible risque pour l’individu pourrait transformer un grand nombre de mots de passe expos\u00e9s. Il dit que son objectif est \u00abd’\u00e9tablir une base de r\u00e9f\u00e9rence minimale raisonnable \u00e0 laquelle tous les gestionnaires de mots de passe devraient se conformer.\u00bb<\/p>\n
Les entreprises ont d\u00e9clar\u00e9 que les logiciels malveillants ne repr\u00e9sentent pas seulement un risque pour les utilisateurs du gestionnaire de mots de passe. Un pirate ayant acc\u00e8s \u00e0 votre ordinateur peut \u00e9galement utiliser du code tel qu’un enregistreur de frappe qui ralentit toute votre activit\u00e9 – \u00e0 ce stade, l’utilisation d’un gestionnaire de mots de passe n’est pas votre seul probl\u00e8me.<\/p>\n
Les entreprises et les chercheurs ne s’entendent pas non plus sur ce qu’ils peuvent faire pour r\u00e9soudre le probl\u00e8me des fuites de m\u00e9moire sans modifications fondamentales des syst\u00e8mes d’exploitation. Le directeur g\u00e9n\u00e9ral de Dashlane, Emmanuel Schalit, a d\u00e9clar\u00e9 que les attaques de m\u00e9moire locale sont toujours une pr\u00e9occupation hypoth\u00e9tique. \u00abIl est plus important pour nous de travailler \u00e0 renforcer encore plus les composants de base de notre infrastructure de serveur ou de la cryptographie, car cela a un impact plus important sur la s\u00e9curit\u00e9 de nos utilisateurs\u00bb, a-t-il d\u00e9clar\u00e9.<\/p>\n
<\/p>\n
Renforcer les d\u00e9fenses<\/h3>\n
Les deux parties s’accordent sur une chose: vos appareils personnels sont le maillon faible. Il est beaucoup plus difficile pour un gestionnaire de mots de passe – ou tout autre logiciel – de prot\u00e9ger vos pr\u00e9cieuses donn\u00e9es si l’ordinateur sur lequel vous travaillez est compromis.<\/p>\n
Alors ne vous faites pas de piratage en:<\/p>\n
\n- Mise \u00e0 jour religieuse de votre logiciel. Les nouvelles versions contiennent des correctifs de s\u00e9curit\u00e9 tr\u00e8s importants.<\/li>\n
- Recherche de logiciels malveillants sur votre ordinateur. Je recommande Malwarebytes pour Windows et MacOS.<\/li>\n
- \u00catre tr\u00e8s prudent lors de l’installation de logiciels provenant d’endroits autres que Microsoft, Apple et les boutiques d’applications g\u00e9r\u00e9es par Google. Dites non aux extensions de navigateur Web et aux messages contextuels.<\/li>\n
- Ne stocke pas de secrets extr\u00eamement pr\u00e9cieux tels que les cl\u00e9s priv\u00e9es bitcoin dans les gestionnaires de mots de passe.<\/li>\n<\/ul>\n
L’autre le\u00e7on de la nouvelle recherche est de savoir comment les gestionnaires de mots de passe ont g\u00e9r\u00e9 le probl\u00e8me. \u00ab\u00a0Ils ne sont pas tous cr\u00e9\u00e9s \u00e9gaux\u00a0\u00bb, a d\u00e9clar\u00e9 Bednarek. Dashlane et KeePass ont fait le meilleur travail pour prot\u00e9ger les mots de passe principaux dans la m\u00e9moire de l’ordinateur. Dashlane reste mon gestionnaire de mots de passe de premier choix pour les consommateurs, m\u00eame s’il est aussi le plus cher.<\/p>\n
J’ai \u00e9galement appris \u00e0 quel point ils ont r\u00e9pondu s\u00e9rieusement \u00e0 ISE lorsque Bednarek les a contact\u00e9s – et \u00e0 moi lorsque j’ai fait un suivi. KeePass l’a rejet\u00e9 comme une vieille nouvelle et RoboForm n’avait pas grand-chose \u00e0 dire. Dashlane m’a mis au t\u00e9l\u00e9phone avec son PDG. Le d\u00e9fenseur en chef de Password Against the Dark Arts m’a envoy\u00e9 de longs courriels. LastPass m’a fait parler \u00e0 son responsable technique sup\u00e9rieur – mais il a \u00e9galement fait interdire Bednarek \u00e0 Bugcrowd, le site o\u00f9 les chercheurs signalent les d\u00e9fauts, car il m’a r\u00e9v\u00e9l\u00e9 le bogue.<\/p>\n
Troy Hunt, un expert en s\u00e9curit\u00e9 qui g\u00e8re la base de donn\u00e9es de mots de passe compromis Haveibeenpwned.com, affirme que les gestionnaires de mots de passe devraient \u00eatre aussi r\u00e9silients que possible. \u00ab\u00a0Si le r\u00e9sultat est que les gestionnaires de mots de passe concern\u00e9s renforcent encore leur posture de s\u00e9curit\u00e9, alors c’est une bonne chose\u00a0\u00bb, a-t-il d\u00e9clar\u00e9. \u00ab\u00a0Tant que cela n’effraie pas leurs utilisateurs.\u00a0\u00bb<\/p>\n","protected":false},"excerpt":{"rendered":"
Un gestionnaire de mots de passe stocke tous vos mots de passe et les remplit automatiquement dans votre navigateur Web<\/p>\n","protected":false},"author":1,"featured_media":457,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[30,17],"tags":[],"class_list":["post-456","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-securite-internet","category-vie-privee"],"_links":{"self":[{"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/posts\/456","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/comments?post=456"}],"version-history":[{"count":3,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/posts\/456\/revisions"}],"predecessor-version":[{"id":463,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/posts\/456\/revisions\/463"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/media\/457"}],"wp:attachment":[{"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/media?parent=456"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/categories?post=456"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.qwanturank.ovh\/actualites\/wp-json\/wp\/v2\/tags?post=456"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}