![\"cadenas\"](\"https:\/\/michauko.org\/blog\/wp-content\/uploads\/2014\/08\/cadenas3.png\")
<\/p>\n<\/p>\n
Google Chrome stocke les mots de passe de mani\u00e8re lamentable (c’est un fait, pas une question<\/a>) et la protection contre l’affichage est un leurre (base SQLLite d\u00e9cryptable assez facilement). De plus, pour des raisons de commodit\u00e9s (synchro entre PC et tablettes\/t\u00e9l\u00e9phones, tr\u00e8s pratique il faut l’avouer), la base est stock\u00e9e chez l’ami Google… en clair. Tiens, en passant, par rapport \u00e0 Firefox : Face \u00e0 ce constat et pour un peu de vie priv\u00e9e, au milieu de nos photos de chatons sur Facebook et compte Gmail (perso, j’\u00e9vite Gmail), j’ai cherch\u00e9 comment faire pour reprendre la main un peu l\u00e0-dessus. J’avais d\u00e9j\u00e0 les 2 tiers de mes mots de passe dans KeePass<\/a>, mais par flemme, je faisais retenir le tout \u00e0 Chrome quand m\u00eame. Le probl\u00e8me est qu’en cas de perte de la machine, n’importe qui peut tenter sa chance sur la copie locale de la base SQLLite (fichier \u00ab\u00a0Login Data\u00a0\u00bb dans le profil). En creusant un peu j’en suis arriv\u00e9 \u00e0 la chose suivante : Allez, yapuka, c’est d’la bombe.<\/p>\n Sous Firefox, il y a aussi un plug-in exploitant KeePassHTTP, il s’agit de KeeFox. De m\u00eame pour IE et toute la clique, je crois (\u00e0 voir l\u00e0<\/a>)<\/p>\n Baaaaah, j’ai pas hyper envie de donner mes mots de passe \u00e0 eux plut\u00f4t qu’\u00e0 un autre en fait. De plus, se balader avec sa base plus ou moins sous le coude, via une base KeePass fortement encrypt\u00e9e (mot de passe + clef ssh par exemple), c’est pratique dans d’autres situations. Tout n’est pas dans un navigateur qu’il faut avoir pr\u00e9configur\u00e9 avant. Il est open-source, donc il y aura un fork. Pas comme un certain Truecrypt et son arr\u00eat aussi soudain que louche !! OK super. Je ne rappellerais m\u00eame pas qu’une site donn\u00e9 peut tout \u00e0 fait avoir un syst\u00e8me pas terrible stockant en clair le mot de passe… et que la plupart des sites permettent de r\u00e9cup\u00e9rer son mot de passe avec 2\/3 questions banales de la vie priv\u00e9e de la personne… Voir KeepShare<\/a> pour Android. Je n’ai pas encore investigu\u00e9 car je n’utilise pas trop ces appareils pour aller sur le web, ou alors c’est exceptionnel et KeePassDroid<\/a> permet au pire de s’en sortir pour lire une base KeePass. ChromeIPass voit tout passer, lui. Quelqu’un a acc\u00e8s \u00e0 son code source ? \ud83d\ude09 Le constat peu reluisant Google Chrome stocke les mots de passe de mani\u00e8re lamentable (c’est un fait, pas une question) et la protection contre l’affichage est un leurre (base SQLLite d\u00e9cryptable assez facilement). De plus, …<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_crdt_document":"","_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[391,8,389],"tags":[505,561,560,165,229,559,557,558],"class_list":["post-1637","post","type-post","status-publish","format-standard","hentry","category-autres-outils","category-coup-de-coeur","category-reseau-secu","tag-chrome","tag-chromeipass","tag-chromepass","tag-firefox","tag-google","tag-keefox","tag-keepass","tag-keepasshttp"],"yoast_head":"\n
\nBon c’est pratique pour nous, certes, mais aussi pour eux si des fois \u00ab\u00a0quelqu’un\u00a0\u00bb leur demandait un mot de passe… bon, c’est certainement pas le genre de Big Google hein.<\/p>\n
\n– Pas de notion de \u00ab\u00a0master password\u00a0\u00bb comme avec firefox qui permet au moins de crypter la base d’identifiants et de la stocker ainsi crypt\u00e9e, m\u00eame si elle est h\u00e9berg\u00e9e chez un tiers – la soci\u00e9t\u00e9 mozilla – ce qu’on peut ne pas appr\u00e9cier non plus.
\n– Certes, pour le partage entre postes, il y a Firefox Sync, qu’on peut h\u00e9berger nous-m\u00eames si vraiment on le souhaite (mais c’est un peu touchy<\/a> \u00e0 mettre en place et hors de port\u00e9e de beaucoup).
\n– Et manque de bol, il me semble que si on la prot\u00e8ge par un master password, la synchro entre postes ne peut plus avoir lieu, sauf \u00e0 enlever le master password \u00e0 un moment sur les 2 postes en question, attendre ou provoquer une synchro, puis recrypter. Un peu p\u00e9nible.<\/del><\/p>\nUne solution ? (simple ?)<\/h2>\n
\nEDIT : dans tous les cas, m\u00eame si la synchro online peut \u00eatre \u00e0 peu pr\u00e8s sure en cherchant bien, conserver soi-m\u00eame ses mots de passe dans une base de donn\u00e9es qu’on a \u00e0 port\u00e9e de main pr\u00e9sente bien des avantages pratiques (changement de PC, squat d’un PC temporairement etc).<\/p>\n
\nJ’ai export\u00e9 de Chrome tous mes mots de passe (avec le champ URL !!) gr\u00e2ce \u00e0 ChromePass<\/a> et import\u00e9 dans KeePass (et d\u00e9gag\u00e9 les doublons). Ensuite, le plug-in ChromeIPass<\/a>, en s’appuyant sur l’extension KeePassHTTP (lisez la doc et t\u00e9l\u00e9chargez-le ici<\/a>), fait l’interface entre Chrome et KeePass, d’une mani\u00e8re que je trouve particuli\u00e8rement \u00e9l\u00e9gante. Ainsi, d\u00e8s que Chrome a besoin d’un identifiant\/mot de passe, ChromeIPass le d\u00e9tecte et regarde avec votre accord dans KeePass, voit si quelque chose parle de ce site, vous validez l’acc\u00e8s aux identifiants et zou.<\/strong>
\nJ’avais quelques r\u00e9ticences en me demandant comment l’outil ferait le lien entre une entr\u00e9e dans KeePass et un site web, un formulaire, un champ pr\u00e9cis etc. C’est assez bien pens\u00e9 et efficace. Chaque demande de mots de passe est \u00e0 valider dans KeePass (pas dans Chrome), on peut automatiser, regrouper diff\u00e9rents acc\u00e8s, \u00e7a cherche intelligemment quelle que soit l’URL et le formulaire moisis du site sur lequel vous cherchez \u00e0 vous identifier. Si en arrivant sur un site, votre identifiant n’est pas propos\u00e9, c’est que ChromeIPass ne l’a pas trouv\u00e9, il est encore temps d’aller dans KeePass et de renseigner le champ URL en cons\u00e9quence. Bref, faut essayer et on comprend tr\u00e8s vite.
\nIl faut \u00e9videmment avoir pris soin de virer quelques mots de passe de Chrome, sinon tous, pour tester – et aussi de ne plus \u00ab\u00a0retenir les mots de passe\u00a0\u00bb.<\/p>\nQuelques autres reflexions<\/h2>\n
Firefox<\/h3>\n
Les alternatives au stockage chez Google : LastPass,
1Password <\/del>etc<\/h3>\n
\nUn peu de lecture sur le sujet : http:\/\/lifehacker.com\/5944969\/which-password-manager-is-the-most-secure<\/a><\/p>\nEt quand KeePass sera mort ? et ma base KeePass, si je la perds ?<\/h3>\n
\nQuant \u00e0 perdre sa base KeePass, si elle est bien crypt\u00e9e (gros mot de passe, millions de cycles de cryptage, utilisation de plusieurs couches \u00e0 la suite : mot de passe + clef par exemple), on peut m\u00eame imaginer la stocker dans un cloud quelconque. Ou bien faire intelligemment sa synchro soi-m\u00eame autre part (j’ai opt\u00e9 pour \u00e7a).<\/p>\nMoi je m’en fous je mets le m\u00eame mot de passe partout<\/h3>\n
\nDe plus, KeePass et ChromeIPass permettent de g\u00e9n\u00e9rer un mot de passe totalement bidon en un clic, mot de passe qu’on ne verra peut-\u00eatre jamais \u00e9crit car il ne fera que transiter. Ca ne co\u00fbte pas bien cher de faire bien, disons.<\/p>\nEt ma tablette ? mon t\u00e9l\u00e9phone ?<\/h3>\n
\nEt sur iPhone ? borf, dans le monde merveilleux des iBisounours, tout doit \u00eatre impeccablement pens\u00e9 d\u00e8s le d\u00e9part. Je n’ai plus trop touch\u00e9 un tel appareil depuis quelques temps.<\/p>\nPour pinailler…<\/h3>\n
\nJe vois aussi une difficult\u00e9 relative lorsqu’on synchronise sa base de mots de passe KeePass \u00e0 plusieurs endroits et qu’on l’ouvre (disons, qu’on la fait \u00e9voluer) simultan\u00e9ment. Pour la synchro, c’est moyen…<\/p>\n","protected":false},"excerpt":{"rendered":"