Si vous avez déjà cliqué sur « Enregistrer le mot de passe » dans cette petite fenêtre en bas de l’écran, vous utilisez déjà un gestionnaire de mots de passe. Personne ne vous l’a dit, vous n’en avez choisi aucun, et vous en avez un quand même. Avec probablement une centaine d’entrées dedans.
Cela explique pourquoi la question la plus répétée à propos des mots de passe n’est pas « comment en fabriquer un bon », mais « où sont les miens ». Les gens ne cherchent pas un manuel de sécurité : ils cherchent une liste dont ils savent qu’elle existe et qu’ils ne trouvent pas.
La liste existe. Mais l’endroit où elle est stockée compte beaucoup moins que la réponse à la question suivante, celle que presque personne ne pose : que faut-il pour l’ouvrir ?
Où ils sont, selon ce que vous utilisez
Dans Chrome, ils sont dans le gestionnaire de mots de passe de Google. Ils
vivent à deux endroits à la fois : une copie sur votre ordinateur et une autre
dans votre compte Google, synchronisées. On les voit sur passwords.google.com
ou dans les paramètres du navigateur.
Sur Safari, iPhone et Mac, ils sont dans le trousseau iCloud, qui a depuis peu sa propre application, Mots de passe. Même principe : sur l’appareil et dans votre compte Apple.
Dans Firefox, ils sont dans deux fichiers de votre profil, et les noms valent
la peine d’être connus : logins.json, qui contient les identifiants et les mots
de passe chiffrés, et key4.db, qui contient la clé qui les déchiffre. Mozilla
le documente exactement ainsi, avec ces noms-là.
Dans Edge, ils sont dans votre compte Microsoft, sur le même schéma que Chrome. Et sur Android, c’est le même gestionnaire Google que celui de Chrome, même si vous l’ouvrez depuis les réglages du téléphone.
Voilà la réponse que vous cherchiez. Maintenant la partie qui change quelque chose.
Trois modèles, et pourquoi ils ne s’équivalent pas
Tous disent « vos mots de passe sont chiffrés ». C’est vrai dans les trois cas et cela ne signifie la même chose dans aucun, parce que ce qui change, c’est qui détient la clé.
Le trousseau d’Apple est chiffré de bout en bout. Les clés qui l’ouvrent ne sont pas connues d’Apple ; elles n’existent que sur vos appareils de confiance. Apple le publie dans sa documentation de sécurité, et ajoute un détail appréciable : le système limite les tentatives, précisément pour que même depuis l’intérieur de sa propre infrastructure, personne ne puisse essayer en force. Il n’y a rien à activer. C’est déjà ainsi.
Chez Google, ce mode existe mais il est facultatif. Par défaut, vos mots de passe circulent chiffrés et sont stockés chiffrés, mais avec des clés que Google gère. Vous pouvez changer cela : une phrase secrète de synchronisation —ou le chiffrement sur l’appareil, selon par où vous entrez— laisse les clés entre vos seules mains. La différence pratique est énorme et la plupart des gens ne l’ont jamais activée, parce que personne ne leur a dit que ça existait. Cela a un prix, et il faut le dire en entier : si vous oubliez cette phrase, personne ne récupère vos mots de passe enregistrés. C’est exactement le sens des mots « vous seul ».
Dans Firefox, sans mot de passe principal, le chiffrement ne vous protège pas
de celui qui a vos fichiers. C’est la partie la plus inconfortable de cet
article, et elle vient de Mozilla, pas de nous : sans mot de passe principal
configuré, quiconque copie logins.json et key4.db depuis votre profil peut
lire vos identifiants. Les deux fichiers voyagent ensemble : l’un porte le
cadenas, l’autre la clé. Mettre un mot de passe principal, c’est ce qui chiffre
cette clé et casse la paire.
Le scénario réel n’est pas un film
Quand on imagine qu’on nous vole nos mots de passe, on imagine quelqu’un qui attaque des serveurs. En pratique, les deux cas qui arrivent sont bien plus domestiques.
Le premier : quelqu’un qui a accès à votre ordinateur déverrouillé. Aucune compétence requise. La liste est à deux clics dans les paramètres du navigateur, et même s’il demande le mot de passe de la session pour les afficher en clair, ce mot de passe est connu de qui vit avec vous ou vous a vu le taper.
Le second : un programme qui copie le profil de votre navigateur. Il ne casse rien. Il emporte les fichiers et les ouvre ailleurs, tranquillement. Ce type de logiciel est assez répandu pour avoir son nom dans l’industrie, infostealer, et c’est la raison exacte pour laquelle « mais ils sont chiffrés » appelle toujours la question d’après : chiffrés, d’accord — et la clé, elle est où ?
Face à ce second scénario, le modèle d’Apple tient, celui de Google tient si vous avez activé la phrase, et Firefox sans mot de passe principal ne tient rien.
Quoi faire, par ordre d’impact
Un. Si vous utilisez Firefox, mettez un mot de passe principal. C’est une case dans les paramètres de vie privée et c’est, de loin, le changement qui protège le plus pour le moins d’effort de toute cette liste.
Deux. Si vous utilisez Chrome ou Android, entrez dans le gestionnaire de Google et activez le chiffrement sur l’appareil ou la phrase de synchronisation. Notez-la quelque part de physique avant de l’activer, et comprenez ce que vous signez : à partir de là, cette phrase est la seule porte.
Trois. Regardez le mot de passe du compte qui garde tout le reste. Votre compte Google, votre identifiant Apple ou votre compte Microsoft ont cessé d’être « un compte de plus » le jour où vous avez commencé à y enregistrer des mots de passe : ils sont maintenant la clé du reste. Si ce mot de passe, vous l’avez inventé vous-même il y a huit ans, passez-le au vérificateur et regardez ce qu’il en dit. Et si l’envie vous prend, remplacez-le par un du générateur.
Quatre. Activez le second facteur sur ce compte. C’est l’étape qui transforme « ils connaissent votre mot de passe » en « ils n’entrent quand même pas ».
Est-ce suffisant, ou faut-il un vrai gestionnaire ?
Cela dépend pour quoi, et ici la réponse honnête n’est pas celle qui vend.
Pour la plupart des gens, le gestionnaire du navigateur avec le chiffrement bien configuré suffit, et il vaut infiniment mieux que l’alternative réelle, qui n’est pas un meilleur gestionnaire : c’est le même mot de passe répété sur quarante sites.
Un gestionnaire dédié gagne quand apparaissent des choses que celui du navigateur fait mal ou ne fait pas : utiliser deux navigateurs différents sans devenir fou, partager un mot de passe avec votre conjoint sans l’envoyer par WhatsApp, stocker des choses qui ne sont pas des mots de passe, quitter un écosystème sans tout perdre, ou pouvoir auditer le code de celui qui garde vos secrets. Nous en parlons dans un autre article, et le résumé est que le grand saut ne va pas d’un gestionnaire à un autre : il va d’aucun à n’importe lequel.
Ce que vous cherchiez en réalité
Vous cherchiez une liste. Elle est sur passwords.google.com, dans l’application
Mots de passe de votre iPhone, ou dans les paramètres de votre navigateur, selon
ce que vous utilisez.
Mais tant que vous y êtes, regardez une chose de plus : combien de fois le même mot de passe se répète dans cette liste. Les trois gestionnaires vous le disent si vous le leur demandez. Ce chiffre explique votre situation réelle mieux que tout ce que vous pourrez lire sur le chiffrement, cet article compris.
Sources : documentation de sécurité d’Apple sur le trousseau iCloud —chiffré de
bout en bout avec des clés qu’Apple ne connaît pas, et limitation des tentatives—
· aide de Google Chrome sur la synchronisation, la phrase secrète de
synchronisation et le chiffrement sur l’appareil · documentation de Mozilla sur
la façon dont Firefox enregistre les mots de passe (logins.json et key4.db)
et sur le mot de passe principal.
Photo de Ron Lach · Pexels