Accueil / Mes interventions / Coffre-fort d’identifiants accessible partout, sur Smartphone et PC

Coffre-fort d’identifiants accessible partout, sur Smartphone et PC

J’ai tenté mon client très itinérant (voir article précédent) : Je lui ai parlé d’un moyen d’avoir tous ses identifiants; clés d’activation; de WIFI; sésames des appareils connectés; ; sur son PC portable et son Smartphone, synchronisés et avec la sécurité maximale:

  • Gratuit: Onedrive est gratuit pour un espace de moins de 5Go et le logiciel qui gère les mots de passe: Keepass l’est tout autant.
  • Système Open-Source donc code source du programme « décorticable » par tous: Impossible d’y trouver un back-door.
  • Le fichier/coffre-fort dans lequel la base de données est placée est crypté AES 256 bits.
  • Joignable par tout appareil: tablette, pc, smartphone que ce soit sous les systèmes Windows, Android ou Apple.
  • Synchronisation: On modifie un sésame sur le smartphone; il sera aussi modifié sur le PC.
  • Historique de versions: Sur OneDrive, on peut restaurer une précédente version (Ex: moi j’ai 45 versions sur mon OneDrive Free…).

Les outils utilisés:

Keepass 2 pour PC et Keepass2Android pour Android

Le gestionnaire de mot de passe. Dans ses deux versions: Keepass2 pour le PC, Keepass2Android pour le Smartphone.

Capture de Keepass sur PC: On voit sur les intitulés que le logiciel ne se limite pas aux identifiants de site Web.

Capture de Keepass sur PC

Capture de Keepass2Android sur le Smartphone: 3 vue différentes.

Capture de Keepass2Android

J’aurais pu lui proposer d’autres solutions comme LastPass, mais encore une fois j’apprécie que Keepass soit Open Source: tout développeur a accès au code de fonctionnement contrairement à un système propriétaire donc s’il y avait un défaut de sécurité ça se saurait.

De plus avec LastPass l’autre gros problème est le suivant: Vous ouvrez Laspass.com en vous loggant, et vous visualisez vos identifiants sur une page Web; Combien de services en ligne se sont faite voler leur base clients? … Voilà un lien pour vous faire peur.

Ici le système mis en place est bien différent: On a un fichier, fortement crypté et placé en local sur son disque dur dans le dossier Onedrive. Il est synchronisé dans son espace en ligne OneDrive (comme une photo par exemple). Le petit malin qui aura réussi à subtiliser les identifiants de OneDrive va se retrouver avec un fichier d’extension .kdbx, hyper crypté, à tel point que que le cryptage AES 256bits n’a pas été violé à ma connaissance, à ce jour (Janvier 2020). Seulement… Vous n’êtes pas une société qui gère des milliers de mots de passe et ne risquez pas d’être continuellement attaqué par des pirates. Le seul risque est que votre PC soit vérolé par un Keylogger si vous n’avez pas d’antivirus.

Encore un autre aléas: Lastpass est une société commerciale qui pourrait très bien changer de politique commerciale.

Sur le PC j’installe Keepass. A sa première ouverture il me demande de créer et nommer le fichier de base de données (BDD), puis de choisir le mot de passe maître. Je créée quelques entrées puis clic sur « Enregistrer » et place le fichier dans le dossier OneDrive du PC. Quelques secondes plus tard j’ouvre la page Web de OneDrive: Le fichier est bien présent.

Sur le Smartphone j’installe Keepass2Android. La connexion à l’espace en ligne OneDrive est proposée, il faut juste choisir dans le pas-à-pas l’option « OneDrive (Mes Fichiers) » et pas l’option « OneDrive (Dossier d’application Keepass2Android) » qui créé inutilement un dossier.

OneDrive

Un espace gratuit en ligne OneDrive (5Go et l’historique de version) est suffisant pour le fichier Crypté qui ne pèse que …quelques Kilo octets. Vue de l’espace en ligne OneDrive avec le fichier BDD que j’ai nommée COFFRE (même pas peur):

Vue du fichier coffre en ligne OneDrive

Sur le Smartphone Android: OneDrive n’est pas installé par défaut : Un petit tour sur le Play Store de Google pour l’installer depuis le téléphone.

Vue du dossier OneDrive sur le PC avec la Base COFFRE synchronisée:

Vue de la base de donnée nommée "coffre" en ligne sur le PC

Réglages

Keepass sur PC

Et voilà! Mon client n’a plus qu’a sortir son smartphone pour accéder à toutes sortes d’identifiants qu’il aura pré-saisi: Il les retrouvera à l’identique sur son PC. Mais pour améliorer l’ergonomie et la sécurité je vais faire quelques réglages:

Sur le PC avec Keepass: La traduction Française de l’interface existe, il faut aller dans View> Change languages> Get more languages. Une page Web s’ouvre avec des fichiers de langues à télécharger. Retour sur Keepass pour cliquer sur « Open Folder »: Ceci ouvre le répertoire dédié des langues dans lequel on fait glisser le fichier « French » dé-zippé, précédemment téléchargé.

Keepass changer langue

Sur PC: Par défaut Keepass cache les mots de passe en vue listing, on peut les rendre visibles depuis Affichage> Configurer les colonnes

Keepass visibilité des mots de passe capture 1

Mettre en surbrillance « Mots de passe » et décocher en bas « Masquer les données en utilisant des astérisques »

Le copier-coller d’identifiants depuis Keepass vers le presse-papier: On utilise cette fonction pour s’identifier sur un service en ligne sur lequel on a oublié le mot de passe, et Keepass propose de se mettre en arrière plan lorsqu’on copie un identifiant: Menu de Keepass> Outils> Options> Interface

Keepass reduire apres copier

Un peu de sécurité: Keepass est inviolable mais qu’en est-il si le PC est subtilisé alors que l’application est ouverte? Les réglages ci-dessous (Menu> Outils> Options> Sécurité) verrouillent la base de données automatiquement lors de la mise en veille, l’inactivité de l’utilisateur (au bout de 4mn), et autres déclencheurs. Verrouiller la base: Ca veut dire que Keepass reste ouvert mais il faut re-rentrer le mot de passe principal

Keepass2Android sur le Smartphone

Là aussi les mots de passe sont cachés; Il faut appuyer sur l’icône représentant un oeil à chaque fois pour les voir. Clic sur les 3 petits points en haut à droite et Paramètres> Appli> Affichage Et décocher « Cacher le mot de passe ». Une autre option intéressante à valider: « Protéger l’affichage de la base de données » ce qui interdit la copie d’écran quand on est dans l’Apps.

Capture options Keepass2Android

Au lieu de rentrer le mot de passe principal on a l’option de déverrouillage par empreinte! Retour sur les 3 petits points (menu sandwich revisité) puis « Base de donnée » et valider « Déverrouillage par empreinte digitale ».

Pour renforcer encore la sécurité je reviens sur « Appli » puis « Sécurité » et je coche plusieurs options « Verrouiller la base de données quand l’écran s’éteind » , « Verrouiller lorsqu’on appuie sur le bouton Retour du smartphone » et « Effacer le mot de passe Maitre » lorsqu’on quitte Keepass2Android (EX: Lorsqu’on appuie sur le bouton Home du téléphone).

Il y a même pour les paranos l’option « Fermer ». Une mauvaise traduction qui veut dire « Kill process » ça rajoute à la page d’accueil de Keepass2Android un bouton « Tuer l’application ».

Retour sur le menu « Appli » puis « Déverrouillage rapide » et décocher « Activer QuickUnlock »: le mode « activé » permet de ne rentrer que les 3 derniers caractères du mot de passe maitre après une première identification réussie, ce que je trouve peu sécurisant.