Coffre à mots de passe

Bjorn · 01/12/2018, 16h33

Du coup je suis passé à keepass avec bdd sur mon NAS synology. J'ai tenté l'accès en FTP mais ça semblait buggue en écriture depuis le boulot. Par contre c'est OK en webdav depuis le boulot la maison et sur mon tel android avec keepass 2 Android

Zuglok · 01/12/2018, 18h24

Citation :

Publié par Krib

Que pensez vous de Cryptomator ?

Ça a l'air pas mal pour chiffrer à la volée sur un cloud public !
Open source et chiffrement côté client, peu de risques liés à un tiers donc.

Eyce Karmina · 02/12/2018, 10h45

Citation :

Publié par Erlum

Bitwarden, open source, possibilité d'auto-héberger la solution soi-même...

Sinon, le principe d'un gestionnaire de mot de passe, c'est de chiffrer tes mots de passe à l'aide de ton mot de passe maître. En principe, si les algos utilisés sont récents et correctement utilisés, tu ne risques rien... Si ton mot de passe maître est fort.

Citation :

Publié par Lianai

Idem et je le trouve très bon et j'utilisais Dashlane et Lastpass auparavant. Bitwarden est vraiment celui que j'apprécie le plus et il a l'avantage d'être open source et accessible sur smartphone.

Bitwarden me tente beaucoup, mais en auto-hébergement je trouve qu'une instance dédiée de mssql c'est beaucoup trop bourrin pour un gestionnaire de mot de passe perso (il me reste 1Go de RAM sur mon VPS, j'ai pas spécialement envie de passer à la taille au dessus juste pour ça).
Vous l'utilisez en SaaS ou vous l'hébergez vous même ?

Erlum · 02/12/2018, 10h50

Citation :

Publié par Eyce Karmina

Bitwarden me tente beaucoup, mais en auto-hébergement je trouve qu'une instance dédiée de mssql c'est beaucoup trop bourrin pour un gestionnaire de mot de passe perso (il me reste 1Go de RAM sur mon VPS, j'ai pas spécialement envie de passer à la taille au dessus juste pour ça).
Vous l'utilisez en SaaS ou vous l'hébergez vous même ?

J'avoue que je n'ai pas regardé le détail des prérequis. J'ai fais découvrir le truc à mon meilleur pote et il l'a hébergé sur son serveur@Home, du coup je squatte.

**Kafka Datura** · 02/12/2018, 12h40

Sinon la fonctionnalité existe aussi dans Chrome ... Bon le soucis c'est qu'il faut utiliser Chrome et s'y connecter

Eyce Karmina · 02/12/2018, 19h48

Chrome c'est pas super pratique pour tout ce qu'on ne fait pas à partir d'un browser

(JV, ssh, rdp...)

THX · 04/12/2018, 11h01

J'utilise LastPass depuis des années. Crypté, intégré à FF/Chrome, cloudé mais au moins t'es pas baisé si t'es cambriolé et mes sites visités sont à 1 évidente exception pas si importants si le cloud est piraté (et il faut déjà le faire), appli sur smartphone si je navigue dessus qui se met à jour en temps réel, remplissage automatique des login/mdp et création de formulaires avec remplissage automatique là aussi (adresses, cartes bleues... wai même ça) et absolument aucun problème, que de l'ergonomie et une 100aine de sites enregistrés avec des mots de passe forts que j'aurais jamais pu retenir ou eu la bêtise de laisser physiquement présents sur moi ou à la maison.

Le seul que j'ai à retenir est le mot de passe maître de l'application elle-même (facile, c'est 1234AZER

).

100% satisfait, je me tâte d'ailleurs depuis 2/3 ans à passer en version payante.

N3o- · 04/12/2018, 11h42

Idem que THX, j'utilise LastPass en version gratuite.
C'est sous forme d'application sur mobile (android/iphone) et extension chrome pour PC.
Depuis que j'ai choisi ce gestionnaire, j'ai changé tous mes mots de passes pour un mot de passe très sécurisé sur tous mes sites (en tout cas les plus importants).
Ce qui est sympa c'est qu'on peut déverrouiller le coffre fort via empreinte digitale sur mobile, pas besoin de taper le mot de passe maître.

Le défaut qu'on peut lui trouver, c'est que ton coffre fort est dans le cloud, donc c'est pas comme Keepass où ton fichier est en local.
Perso pour moi ce n'est pas un défaut.

Parfois aussi le gestionnaire de mots de passe intégré de Google (dans chrome ou android) et Lastpass se marchent un peu dessus pour proposer l'enregistrement ou l'auto-complétion... Mais bon c'est ma faute j'ai pas encore désactivé le coffre fort de Google.

Ya aussi un "défi de sécurité" très bien fait qui permet de détecter les mots de passes utilisés sur plusieurs sites différents ou qui ne sont pas assez sécurisés ou qui sont compromis (car le site a été attaqué par exemple). Ca permet facilement d'identifier les sites où tu dois changer ton mot de passe en priorité.

**Doudou Spuiii** · 04/12/2018, 17h37

J'ai essayé Lastpass, mais il me fait un peu de la merde sur certains sites, genre s'il y a un mdp et un 2FA, il va enregistrer le 2FA sur le mdp, je sais pas si y a moyen de corriger ce genre de trucs. Je pense que je vais quand même essayer d'utiliser plutôt Keepass, pour la simple raison que c'est le seul à tourner sur mon pc du taff.

**Doudou Spuiii** · 04/12/2018, 22h14

Je me suis mis à Keepass, j'ai réussi à piger comment ça marchait, youpi.
J'ai créé une base puis j'ai installé Kee pour Firefox, ça fonctionne.

Maintenant, j'ai un soucis, je voudrais faire pareil sur mon smartphone, mais j'ai quelques couillages. J'ai installé l'appli qui semble la mieux, Keepass2Android.
Pour importer la base, il me propose soit divers hébergements en ligne (Dropbox, Google Drive, FTP etc) soit "Selecteur de fichier system", moi je veux utiliser la base .kdbx que j'ai copié collé directement sur mon tel, donc j'utilise le selecteur de fichier.

Mais le hic, c'est qu'il me propose que d'importer des images, des vidéos, de l'audio ou des fichiers téléchargés, impossible de pouvoir sortir de ces choix pour naviguer via un explorateur de fichier et sélectionner le fichier .kdbx que j'ai copié collé sur mon tel.

J'ai testé avec KepassAndroid, je peux le faire, mais il présente apparemment une faille de sécurité, ce qui est relou du cul.
Est-ce que quelqu'un a réussi à utiliser une base c/c dans le tel (hors ligne en gros) et pourrait m'expliquer ce que j'ai loupé ?

Edit : Mdr ok, en fait fallait juste faire "passer par une application tierce" et choisir l'explorateur de fichier, c'était tout con.

N3o- · 05/12/2018, 08h28

Bah ouais mais en faisant ça le défaut c'est que tes changements ne seront pas synchronisés entre tes différents devices !

Squadzz · 05/12/2018, 12h02

@MD_tkt:

A propos de LastPass :

- Compatible PC/Smartphone

- Tu peux organiser tes mots de passes/sites dans différents dossiers

- Tu peux faire un test de sécurité pour mettre à jour automatiquement tes mots de passes sur certains sites.

- Ca t'évites d'avoir 1 mot de passe par site.. Tu peux générer aléatoirement un mot de passe. En gros quand tu te logs sur un site, tu connais pas le mot de passe

- Coté sécurité, oui c'est dans le cloud.. Mais je pense qu'il faut commencé à arrêter de flipper

Sinon je plaint toutes les boites qui utilisent Google Cloud, MS Azure, AWS etc.

- La seule donnée que j'évite de mettre en ligne : Carte de crédit, Pièce d'identité etc. (j'en vois pas l'intérêt)

Un seul point qu'il faut faire gaffe :
- Avant de mettre à jours tous tes mot de passe, soit sûre que tu pourras toujours accéder à ta boite mail, et qu'elle est sécurisé

(YUbikey etc.)

J'ai jamais testé KeePass, mais ça semble être une bonne alternative.

**Doudou Spuiii** · 05/12/2018, 21h08

Citation :

Publié par N3o-

Bah ouais mais en faisant ça le défaut c'est que tes changements ne seront pas synchronisés entre tes différents devices !

Et oui.
Mais d'un autre coté, ça me fait chier de faire une synchro via un google drive ou bien un truc du style :/

N3o- · 06/12/2018, 10h42

Si t'as pas confiance aux services cloud comme Dropbox ou Drive ou Amazon et que t'as un NAS (ou une box qui fait NAS) tu peux te faire ton propre service qui héberge tes fichiers sensibles.

**Doudou Spuiii** · 06/12/2018, 11h25

Citation :

Publié par N3o-

(ou une box qui fait NAS)

Ha mais c'est pas con, ça !

N3o- · 06/12/2018, 14h20

Je dis pas que de la merde

THX · 06/12/2018, 15h23

Le premier truc à partir lors d'un cambriolage.
Brillante idée en effet

N3o- · 06/12/2018, 16h40

J'ai jamais dit que c'était mieux qu'un service hébergé sur internet

Et il a plus de chance de se faire voler son portable que sa box internet non ? D'ailleurs ya vraiment des gens qui volent les boxs internet ? lol

THX · 06/12/2018, 17h18

Quand tu cambrioles, tu prends toute l'électronique/informatique, tu fais pas de détails.
LastPass sur mobile est verrouillé, comme sur le PC, si t'as pas l'empreinte/le mdp maître.

Ze Reaper · 06/12/2018, 19h22

Je comprends pas bien le but de ta dernière remarque THX parce que c'est pareil avec Keepass. Le fichier, qu'il soit sur le NAS, le PC ou le portable, est inexploitable sans le mdp maître. Et le temps que les voleurs crackent le fichier, si tant est que ça soit possible, le proprio devrait avoir le temps de faire le nécessaire pour que ça ne serve plus à rien.

THX · 06/12/2018, 20h03

C'est le message de Doudou qui en chie avec des trucs à ramener/importer/fusionner/trucmachiner qui me fait rigoler.

LastPass, tu installes, tu synchronises... c'est fini. Tu te fais piquer ton NAS, ton PC, ton smartphone ? Tu t'en bats les couilles, tu installes l'app vite fait ailleurs et tu changes le mdp maître au cas où et voilà. Pas de truc parallèle à installer ou je sais pas quoi comme le galère Doudou.

Bjorn · 06/12/2018, 22h05

Non mais des services dans le cloud ien a la blinde. Ça me paraît pas plus con de pas vouloir filer ses mots de passe à un service tiers que d'avoir peur de se faire piquer sa. .. Box. ..

C'est franchement pas si compliqué si on a un peu touche aux nas d'héberger son fichier, ça m'a pris une heure cette semaine. Et c'est gratuit sans pub. Libre à chacun de faire comme il veut mais ta remarque thx est assez déplacée

**Doudou Spuiii** · 06/12/2018, 23h55

Citation :

Publié par THX

Pas de truc parallèle à installer ou je sais pas quoi comme le galère Doudou.

Parce que y a que Keepass qui est installé sur le PC de mon taff et que je peux pas mettre autre chose, du coup, autant que j'utilise le même truc sur tous mes PC.
Que Keepass est certifié ANSI et pas Lastpass, tant qu'à utiliser un truc du genre, autant que ça soit un qui soit bien validé.
Que LastPass, c'est fait par une boite américaine et que j'ai pas forcément envie de foutre l'intégralité de mes pass dans une BDD sur leur cloud.

Et puis, j'avais commencé par utiliser LastPass, mais à l'usage, ça merdouillait un peu, sur certains sites, il remplissait pas les bons champs.
Au final, Keepass couplé avec Kee pour FF, ça marche plutôt bien, une fois que la plupart des MdP sont bien rentrés dans la BDD et qu'on pense à bien faire des copies de la BDD, c'est bon, en fait, c'est un peu rebutant car ça a moins une gueule user friendly, mais une fois qu'on manip un peu, c'est facile en fait.

**Kafka Datura** · 07/12/2018, 04h43

Ca marche comment un truc comme Last Pass en dehors du navigateur? Genre les plateformes de jeux, par exemple.

Eyce Karmina · 07/12/2018, 07h45

Citation :

Publié par Doudou Piwi

Que Keepass est certifié ANSI

Les certifications ne concernent que le périmètre qu'elles vérifient, en l’occurrence ce sont des tests fonctionnels + revue de doc + revue de code pour savoir si le code est clair (pas de recherche de vulnérabilité par exemple).

Dans certaines entreprises, il est important d'utiliser de préférence des logiciels/solutions validées par l'ANSSI pour les éléments sensibles pour des raisons réglementaires, pas pour des raisons d’efficacité. D'ailleurs certaines entreprises font elle-même le boulot de certification quand elles ont besoin de l'outil (

)

Bjorn Alpha & Oméga	Du coup je suis passé à keepass avec bdd sur mon NAS synology. J'ai tenté l'accès en FTP mais ça semblait buggue en écriture depuis le boulot. Par contre c'est OK en webdav depuis le boulot la maison et sur mon tel android avec keepass 2 Android
01/12/2018, 16h33

Zuglok [F2S] Alpha & Oméga	Citation : Publié par Krib Que pensez vous de Cryptomator ? Ça a l'air pas mal pour chiffrer à la volée sur un cloud public ! Open source et chiffrement côté client, peu de risques liés à un tiers donc.
01/12/2018, 18h24

Kafka Datura	Sinon la fonctionnalité existe aussi dans Chrome ... Bon le soucis c'est qu'il faut utiliser Chrome et s'y connecter
02/12/2018, 12h40

Eyce Karmina [m3h-k] Alpha & Oméga	Chrome c'est pas super pratique pour tout ce qu'on ne fait pas à partir d'un browser (JV, ssh, rdp...)
02/12/2018, 19h48

Doudou Spuiii	J'ai essayé Lastpass, mais il me fait un peu de la merde sur certains sites, genre s'il y a un mdp et un 2FA, il va enregistrer le 2FA sur le mdp, je sais pas si y a moyen de corriger ce genre de trucs. Je pense que je vais quand même essayer d'utiliser plutôt Keepass, pour la simple raison que c'est le seul à tourner sur mon pc du taff.
04/12/2018, 17h37

N3o- Alpha & Oméga	Bah ouais mais en faisant ça le défaut c'est que tes changements ne seront pas synchronisés entre tes différents devices !
05/12/2018, 08h28

Doudou Spuiii	Citation : Publié par N3o- Bah ouais mais en faisant ça le défaut c'est que tes changements ne seront pas synchronisés entre tes différents devices ! Et oui. Mais d'un autre coté, ça me fait chier de faire une synchro via un google drive ou bien un truc du style :/
05/12/2018, 21h08

N3o- Alpha & Oméga	Si t'as pas confiance aux services cloud comme Dropbox ou Drive ou Amazon et que t'as un NAS (ou une box qui fait NAS) tu peux te faire ton propre service qui héberge tes fichiers sensibles.
06/12/2018, 10h42

Doudou Spuiii	Citation : Publié par N3o- (ou une box qui fait NAS) Ha mais c'est pas con, ça !
06/12/2018, 11h25

N3o- Alpha & Oméga	Je dis pas que de la merde
06/12/2018, 14h20

THX Alpha & Oméga	Le premier truc à partir lors d'un cambriolage. Brillante idée en effet
06/12/2018, 15h23

N3o- Alpha & Oméga	J'ai jamais dit que c'était mieux qu'un service hébergé sur internet Et il a plus de chance de se faire voler son portable que sa box internet non ? D'ailleurs ya vraiment des gens qui volent les boxs internet ? lol
06/12/2018, 16h40

THX Alpha & Oméga	Quand tu cambrioles, tu prends toute l'électronique/informatique, tu fais pas de détails. LastPass sur mobile est verrouillé, comme sur le PC, si t'as pas l'empreinte/le mdp maître.
06/12/2018, 17h18

Ze Reaper Oracle	Je comprends pas bien le but de ta dernière remarque THX parce que c'est pareil avec Keepass. Le fichier, qu'il soit sur le NAS, le PC ou le portable, est inexploitable sans le mdp maître. Et le temps que les voleurs crackent le fichier, si tant est que ça soit possible, le proprio devrait avoir le temps de faire le nécessaire pour que ça ne serve plus à rien.
06/12/2018, 19h22

Kafka Datura	Ca marche comment un truc comme Last Pass en dehors du navigateur? Genre les plateformes de jeux, par exemple.
07/12/2018, 04h43

Coffre à mots de passe

Connectés sur ce fil