Comment stocker et gérer en toute sécurité 180 mots de passe?

J'ai environ 180 mots de passe pour différents sites Web et services Web. Ils sont tous stockés dans un seul document Excel protégé par mot de passe. À mesure que la liste s'allonge, je suis de plus en plus préoccupé par sa sécurité.

Dans quelle mesure un document Excel protégé par mot de passe est-il sécurisé ou dois-je dire non sécurisé? Quelle est la meilleure pratique pour stocker autant de mots de passe de manière sécurisée et facile à gérer?

Je trouve la méthode Excel assez simple, mais la sécurité me préoccupe.

Mon outil de stockage de mots de passe préféré est KeePass :

Qu'est-ce que KeePass?

Aujourd'hui, vous devez vous rappeler de nombreux mots de passe. Vous avez besoin d'un mot de passe pour la connexion au réseau Windows, votre compte de messagerie, le mot de passe FTP de votre site Web, vos mots de passe en ligne (comme un compte membre du site Web), etc., etc. La liste est interminable. En outre, vous devez utiliser des mots de passe différents pour chaque compte. Parce que si vous utilisez un seul mot de passe partout et que quelqu'un obtient ce mot de passe, vous avez un problème ... Un problème grave. Le voleur aurait accès à votre compte de messagerie, à votre site Web, etc. Inimaginable.

KeePass est un gestionnaire de mot de passe open source gratuit qui vous aide à gérer vos mots de passe de manière sécurisée. Vous pouvez mettre tous vos mots de passe dans une base de données, qui est verrouillée avec une clé principale ou un fichier de clé. Il vous suffit donc de ne mémoriser qu'un seul mot de passe principal ou de sélectionner le fichier de clé pour déverrouiller l'ensemble de la base de données. Les bases de données sont chiffrées à l’aide des algorithmes de chiffrement les plus fiables et les mieux sécurisés du moment (AES et Twofish). Pour plus d'informations, voir la page des fonctionnalités .

Y a-t-il une limite quant au nombre de mots de passe que vous pouvez stocker?

Seulement en théorie. Vous pouvez insérer autant d'entrées que vous le souhaitez dans la base de données, mais à un moment donné, votre clé USB ou votre disque dur sera plein.

Existe-t-il un moyen de synchroniser automatiquement les mots de passe modifiés?

Non, pas comme vous l'attendez.
Vous voudrez en faire un processus manuel régulier. Cela ne peut et ne doit pas être automatisé.

J'aime définir des dates d'expiration pour toutes les entrées de mon mot de passe.
Ensuite, je me souviens de changer régulièrement mes mots de passe. Je stocke l'URL du site Web avec l'entrée du mot de passe, le processus est donc rapide.

Puis-je me connecter automatiquement à un site Web tel que Facebook à l'aide de ce logiciel?

Non, pas automatiquement non plus (du moins à ma connaissance). Mais c'est là qu'intervient Auto-Type . Par exemple, pour Facebook, voici ma configuration de type automatique:

Comme vous pouvez le constater, j'ai créé 3 configurations pour différents titres de navigateurs. Cela me permet simplement d'aller sur facebook.com, d'appuyer sur Ctrl+ Alt+ A, et le nom d'utilisateur et le mot de passe seront automatiquement entrés et je serai connecté.

Si vous avez plusieurs combinaisons nom d'utilisateur / mot de passe pour le même titre de fenêtre, une fenêtre contextuelle vous demandant quelle entrée de mot de passe doit être utilisée.

Qu'en est-il du mobile?

Certaines applications prennent en charge le format de conteneur KeePass sur les appareils mobiles. Mais je reste loin de ceux-là. Je n'aime pas la pensée de ma base de données KeePass sur mon téléphone.

Je préfère ne transférer que des mots de passe uniques à l'aide du plugin QR Code Generator . Il vous permet de générer un code QR à partir d'un mot de passe, que vous pouvez ensuite numériser avec votre téléphone. Il est utile de disposer d' une application capable de copier le contenu numérisé dans le presse-papiers.

Il semble y avoir plusieurs outils de piratage de mots de passe Excel faciles à utiliser.

J'utiliserais un système de gestion de mot de passe comme 1password ou LastPass, qui fonctionne sur plusieurs systèmes d'exploitation, y compris les mobiles.

Ceux-ci ont des plugins pour la plupart des navigateurs qui peuvent entrer des mots de passe et d'autres informations dans le formulaire Web. 1password peut également créer un signet dans le navigateur, qui se connectera automatiquement (pour toute utilisation de l'application, il faut d'abord utiliser un mot de passe principal).

1password peut également stocker des notes, un compte (par exemple, email, ftp) et des modèles pour aider à stocker des informations sur les cartes de crédit, les comptes bancaires et autres. Bien que ce soit commercial, vous pouvez obtenir une démo gratuite qui permet de saisir jusqu'à 20 éléments.

Une différence entre les deux est que 1password ne stocke que les données localement (bien que vous puissiez synchroniser les données incrustées à l’aide de dropbox ou similaire), Lastpass peut données et pas besoin de dropbox, etc.

J'ai utilisé Lastpass depuis un moment maintenant et le recommande vivement. Il possède de merveilleux plugins de navigateur et un ensemble de fonctionnalités qui facilitent l’utilisation de mots de passe plus sûrs.

Le plug-in du navigateur remplira automatiquement les informations de connexion (une fois connecté au plug-in). Il dispose également d'une fonction d'exportation, vous permettant ainsi de récupérer votre base de données et de l'importer dans KeePass, par exemple. Il utilise également une authentification en deux étapes pour plus de sécurité.

Client de bureau:

Plugin de navigateur:

Le mot de passe Hasher plugin (pour Firefox) est ce que j'utilise personnellement.

Comment Password Hasher aide:

• Génère automatiquement des mots de passe forts.
• Une clé principale produit différents mots de passe sur plusieurs sites.
• Mettez rapidement à niveau les mots de passe en "remplaçant" la balise de site.
• Mettez à niveau une clé principale sans mettre à jour tous les sites à la fois.
• Prend en charge des mots de passe de longueur différente.
• Prise en charge des exigences spéciales, telles que les chiffres et la ponctuation.
• Prend en charge la restriction d'un mot de hachage pour qu'il n'utilise pas de caractères spéciaux. (Nouveau!)
• Enregistre toutes les données dans la base de données de mots de passe sécurisée du navigateur.
• Génère une page HTML portable avec les balises de votre site et les paramètres d’option vous permettant de générer vos mots de hachage dans n’importe quel navigateur, sur n’importe quel ordinateur sur lequel l’extension n’est pas installée. (Nouveau!)
• Peut ajouter des boutons de marqueur pour démasquer les mots de passe sur n’importe quel site Web. (Nouveau!)
• Extrêmement simple à utiliser!

Personnellement, j'utilise PasswordMaker pour générer des mots de passe à partir d'un mot de passe principal et de l'URL du site. Le projet est assez mature, open source et stable. Il est disponible pour Firefox (en tant qu'extension), Linux CLI, Android, etc.

Comment ça fonctionne:

Attention - jargon technique dans cette section! Vous fournissez deux informations à PasswordMaker: un "mot de passe principal" - ce mot de passe unique que vous aimez - et l'URL du site Web nécessitant un mot de passe. Grâce à la magie des algorithmes de hachage à sens unique, PasswordMaker calcule un résumé de message, également appelé empreinte digitale, qui peut être utilisé comme mot de passe pour le site Web. Bien que les algorithmes de hachage unidirectionnel présentent un certain nombre de caractéristiques intéressantes, celle-ci mise en avant par PasswordMaker est que l'empreinte digitale résultante (mot de passe) ne révèle rien sur l'entrée utilisée pour le générer. En d’autres termes, si une personne possède un ou plusieurs de vos mots de passe générés, il lui est impossible en principe de calculer votre mot de passe principal ou de calculer vos autres mots de passe.

Il est risqué de faire confiance à une application tierce pour stocker vos mots de passe importants, en particulier les applications potentiellement capables de se connecter en ligne ou celles que vous leur autorisez à accéder aux processus d'un autre programme; et plus important encore, faire confiance aux non-sources ouvertes .

À mon avis, un moyen plus sûr consiste à stocker vos mots de passe importants dans un fichier texte (.TXT), puis à chiffrer le fichier avec l' algorithme AES à l' aide de dsCrypt.exe . Vous devez entrer votre mot de passe principal dans dsCrypt une seule fois et vous pourrez crypter / décrypter votre fichier texte de mot de passe plusieurs fois sans vous demander de ressaisir le mot de passe principal à chaque fois que dsCrypt est en cours d'exécution. Vous pouvez exécuter automatiquement dsCrypt avec votre démarrage Windows et entrer votre mot de passe principal une fois; et ce dont vous avez besoin ensuite, il vous suffit de faire glisser votre fichier de mots de passe (.txt) sur dsCrypt pour le déchiffrer / chiffrer lorsque vous avez besoin de vos mots de passe.

Je recommande KeePassXC, qui est une fourchette communautaire de KeePassX , un port multiplate-forme natif de KeePass Password Safe , dans le but de l'étendre et de l'améliorer avec de nouvelles fonctionnalités et corrections de bugs pour fournir un environnement riche en fonctionnalités, entièrement multi-plateformes et ouvert gestionnaire de mot de passe source.

Ce client est également recommandé par Surveillance Self-Defense .

Caractéristiques principales de KeePassXC :

• Stockage sécurisé des mots de passe et autres données privées avec le cryptage AES, Twofish ou ChaCha20
• Multiplate-forme, fonctionne sous Linux, Windows et macOS sans modifications
• Compatibilité de format de fichier avec KeePass2, KeePassX, MacPass, KeeWeb et beaucoup d'autres (KDBX 3.1 et 4.0)
• Intégration de l'agent SSH
• Tapez automatiquement sur toutes les plateformes prises en charge pour remplir automatiquement les formulaires de connexion
• Prise en charge des réponses au fichier clé et à la réponse au défi YubiKey pour une sécurité accrue
• Génération TOTP (y compris Steam Guard)
• Importation CSV depuis d'autres gestionnaires de mots de passe (par exemple, LastPass)
• Interface de ligne de commande
• Générateur de mot de passe et phrase secrète autonome
• Mètre de force de mot de passe
• Icônes personnalisées pour les entrées de base de données et le téléchargement des favicons de sites Web
• Fonctionnalité de fusion de base de données
• Rechargement automatique lorsque la base de données a été modifiée en externe
• Intégration du navigateur avec KeePassXC-Browser pour Google Chrome, Chrome, Vivaldi et Mozilla Firefox.
• (Legacy) Prise en charge de KeePassHTTP pour une utilisation avec KeePassHTTP-Connector disponible pour Mozilla Firefox et Google Chrome et passafari pour Safari.

J'utilise les fichiers Notepad et .txt. Si vous voulez mon avis, je vous conseille de ne pas utiliser de logiciel tiers. D'où savez-vous qu'ils ne volent pas vos mots de passe?
Donc, utiliser des fichiers texte serait le meilleur.
Aussi, si vous êtes programmeur, je vous suggère de vous en créer un simple qui utilise l’encodage pour sécuriser les données. C'est la meilleure solution.