Ges­tion­naires de mots de passe : aperçu des meilleurs outils

Il peut être difficile de générer un mot de passe sécurisé. À l’aide d’un logiciel bien conçu, un cy­ber­cri­mi­nel peut ra­pi­de­ment dé­chif­frer votre code et accéder à vos données les plus sensibles. Il est donc né­ces­saire de créer des com­bi­nai­sons complexes formées de lettres de l’alphabet agencées au hasard, de chiffres et de ca­rac­tères spéciaux, afin qu’elles soient dif­fi­ciles à dé­chif­frer même pour des personnes disposant des meilleurs logiciels et hardwares. Si ces com­bi­nai­sons sont dif­fi­ciles à dé­chif­frer, elles sont également dif­fi­ciles à retenir, surtout si vous utilisez de nombreux mots de passe en utilisant votre or­di­na­teur. C’est pourquoi, un ges­tion­naire de mots de passe peut vous être utile.

Quels sont les dif­fé­rents ges­tion­naires de mots de passe ? Dif­fé­rences et éva­lua­tion

Les ges­tion­naires de mots de passe font partie des outils qui peuvent rendre vos activités quo­ti­diennes sur la Toile bien plus sûres. Si vous tra­vail­lez sur de nom­breuses ap­pli­ca­tions avec login et que vous traitez des in­for­ma­tions con­fi­den­tielles et sensibles, vous bé­né­fi­ciez non seulement de la pro­tec­tion fournie par les pro­grammes de sécurité, mais aussi de sim­pli­fi­ca­tion dans les processus de connexion. Cependant, avant de pouvoir créer un système de mot de passe per­son­na­lisé, vous devez d’abord trouver un ges­tion­naire de mots de passe approprié. Mais c’est plus facile à dire qu’à faire compte tenu de l’énorme choix de solutions, qu’elles soient pro­prié­taires ou open source.

Pour trouver l’outil adéquat, il faut réfléchir aux exigences aux­quelles le logiciel doit répondre. Un facteur important est par exemple de savoir si le ges­tion­naire souhaité fonc­tionne ex­clu­si­ve­ment sur l’or­di­na­teur local ou si vous souhaitez l’exécuter sur un pé­ri­phé­rique étranger via un support de stockage mobile (par exemple une clé USB).

Il est également important de savoir si le programme doit pouvoir ou non générer des mots de passe. Les outils de gestion diffèrent également dans leurs al­go­rithmes. Ici, ce sont vos pré­fé­rences per­son­nelles que vous devez prendre en compte. Veillez dans tous les cas à ce qu’une méthode de chif­fre­ment à jour soit utilisé.

Enfin, le lieu de stockage de la base de données des mots de passe est un critère d’éva­lua­tion important : certains pro­grammes stockent au­to­ma­ti­que­ment les mots de passe dans le Cloud du fabricant, ce qui permet une dis­po­ni­bi­lité per­ma­nente. Cependant, vous n’aurez un contrôle total sur vos propres mots de passe qu’avec des solutions qui per­met­tent un stockage local, c’est-à-dire sur votre propre système.

Aperçu des meilleurs ges­tion­naires de mots de passe

Les critères de sélection men­tion­nés ci-dessus indiquent clai­re­ment qu’il est essentiel de s’informer au préalable sur les ges­tion­naires de mots de passe dis­po­nibles. Par exemple, si vous vous pré­ci­pi­tez sur un programme pro­prié­taire parce qu’il promet un chif­fre­ment de pointe et que vous vous rendez compte par la suite qu’un stockage sur le Cloud ne vous convient pas, vous aurez déjà effectué des dépenses inutiles pour un outil qui n’est pas en­tiè­re­ment adapté à vos besoins. D’autre part, utiliser tête baissée un produit open source n’est pas sans risque : si vous avez des ennuis avec un four­nis­seur douteux, la sécurité de vos mots de passe peut ra­pi­de­ment être com­pro­mise…

Afin de vous aider à trouver un ges­tion­naire de mots de passe approprié, nous vous pré­sen­tons ici quelques pro­grammes in­té­res­sants en les comparant notamment sur des facteurs relatifs aux coûts, aux modèles de licence, à leur flexi­bi­lité et enfin à la mul­ti­pli­cité de leurs fonctions.

KeePass

KeePass est une solution open source fortement re­com­man­dée pour gérer ses mots de passe. Depuis son lancement en 2003 par Dominik Reichl, ce programme instauré sous licence GPL a été cons­tam­ment amélioré, notamment grâce à une com­mu­nauté très active. Aujourd’hui, l’outil est dis­po­nible dans 45 langages dif­fé­rents. De plus, de nombreux plugins per­met­tent d’apporter de nouvelles fonctions à la version de base de KeePass. Outre les versions of­fi­cielles Windows, macOS et Linux, il existe des comp­ta­bi­li­tés aux systèmes d’ex­ploi­ta­tion mobiles, tel que Windows Phone (par exemple WinPass, WinKee, 7Pass), iOS (par exemple iKeePass, Mi­ni­Kee­Pass, MyKeePass) et Android (par exemple Kee­Pass­Droid, KeePass2Android, KeepShare). Pour utiliser ce ges­tion­naire de mots de passe, il est né­ces­saire de l’installer sur le système souhaité ou de rendre la solution mobile en le copiant sur une clé USB.

Con­trai­re­ment à d’autres solutions, KeePass permet entre autres l’au­then­ti­fi­ca­tion à deux facteurs ainsi que le chif­fre­ment de l’ensemble de la base de données des mots de passe. Pour cela, l’al­go­rithme AES ou Twofish est dis­po­nible au choix. Pour la pro­tec­tion des mots de passe in­di­vi­duels, c’est l’al­go­rithme de hachage SHA-256 qui est utilisé.

En tant qu’uti­li­sa­teur, vous avez trois options pour accéder à la base de données : un mot de passe maître classique, l’uti­li­sa­tion d’un compte Windows ou encore le fichier clé. La dernière option est la plus sûre selon les dé­ve­lop­peurs. Cependant, il est né­ces­saire d’avoir le fichier clé toujours avec soi, par exemple sur une clé USB ou sur un CD. Une com­bi­nai­son du mot de passe principal et du fichier clé est également possible. Par ailleurs, voici quelques-unes des autres fonc­tion­na­li­tés du ges­tion­naire de mots de passe :

• Dif­fé­rents formats d’ex­por­ta­tion tels que TXT, HTML, XML ou CSV
• Plus de 35 formats d’im­por­ta­tion
• Ca­té­go­ri­sa­tion possible des mots de passe
• Données sur la date de création, la dernière mo­di­fi­ca­tion, le dernier accès et l’ex­pi­ra­tion des mots de passe
• Fonction de filtres et de recherche
• Framework de plugins dis­po­nible

KeePass convainc non seulement par ses nom­breuses fonctions pour les bases de données, mais aussi par la pos­si­bi­lité de générer un mot de passe. Vous pouvez ainsi créer en quelques minutes des mots de passe sécurisés pour vos dif­fé­rents comptes. Dans les options, vous dé­ter­mi­ne­rez la longueur du mot de passe à générer et les ca­rac­tères spé­ci­fiques (lettres ma­jus­cules, mi­nus­cules, chiffres, tirets, etc.). Autrement, vous pouvez définir comme base un modèle ou votre al­go­rithme propre.

Password Safe (MATESO)

Sorti en 1998, le logiciel Password Safe est dis­po­nible en plusieurs éditions payantes, conçues prin­ci­pa­le­ment pour les PME et les grandes en­tre­prises. Depuis, MATESO fait partie de l’en­tre­prise amé­ri­caine de sécurité in­for­ma­tique Netwrix, de sorte que dif­fé­rents packs sont proposés, dont des solutions plus petites pour les par­ti­cu­liers. Une version de dé­mons­tra­tion peut être demandée. Voici un résumé des paquets proposés :

• Netwrix Auditor for Active Directory : la version de base, appelée « Starter », fournit des fonc­tion­na­li­tés es­sen­tielles pour la sur­veil­lance des activités d’Active Directory. Elle peut être étendue avec les éditions « Standard » et « En­ter­prise », qui ajoutent des fonc­tion­na­li­tés avancées telles que la sur­veil­lance en temps réel, la con­for­mité et l’analyse des activités d’Active Directory.
• Netwrix Auditor for Azure AD : de manière similaire à l’Active Directory, Netwrix propose dif­fé­rentes éditions pour la sur­veil­lance d’Azure AD, chacune adaptée aux besoins variés des en­tre­prises.
• D’autres solutions comme Netwrix Auditor for Office 365, Netwrix Data Clas­si­fi­ca­tion ou Netwrix Data Access Go­ver­nance offrent des fonc­tion­na­li­tés de sur­veil­lance et de sécurité pour les ap­pli­ca­tions Office 365, de clas­si­fi­ca­tion et de marquage des données, ainsi que de sur­veil­lance et de gestion des accès aux données, afin de minimiser les risques de sécurité.

Selon les données du fabricant, plus de 10 000 en­tre­prises dans le monde entier utilisent ce puissant ges­tion­naire de mots de passe. Le programme fonc­tionne sur tous les systèmes d’ex­ploi­ta­tion Microsoft actuels (à partir de Windows 7) et est également dis­po­nible en tant qu’ap­pli­ca­tion pour iOS, Windows Phone et Android. L’ensemble des packs payants de Password Safe permet d’utiliser l’outil par ins­tal­la­tion fixe ou sur clé USB.

Pour que vous puissiez garder une vue d’ensemble de toutes les entrées dans la base de données du ges­tion­naire de mots de passe, Password Safe s’appuie sur un système de dossiers clai­re­ment structuré.

Le fait que Password Safe soit un logiciel spé­cia­le­ment conçu pour des en­tre­prises a rendu au­to­ma­tique les fonctions multi-uti­li­sa­teurs qui sont gé­né­ra­le­ment toujours dis­po­nibles dans les éditions pro­fes­sion­nelles. Il s’agit entre autres de bases de données d’équipe cen­tra­li­sées pour les­quelles vous pouvez fa­ci­le­ment contrôler les accès en fonction de rôles définis. De plus, la ré­cu­pé­ra­tion du mot de passe n’est possible que si cela est justifié. La sécurité des bases de données et des mots de passe est assurée par le chif­fre­ment AES-256 et RSA-4096 (pour les clés à long terme).

La connexion à la base de données s’établit en sai­sis­sant un mot de passe maître ou à l’aide d’un fichier clé. Selon le package, vous pouvez également combiner les deux méthodes afin d’augmenter encore le niveau de sécurité. Voici quelques ca­rac­té­ris­tiques sup­plé­men­taires du ges­tion­naire de mots de passe :

• Cloud possible grâce au chif­fre­ment de bout en bout
• Pare-feu des bases de données
• Tableau de bord per­son­na­li­sable
• Fonctions in­tel­li­gentes de recherche et de filtrage
• Clavier virtuel pour se protéger contre les key­log­gers
• Sau­ve­gardes im­mé­diates au­to­ma­tiques

LastPass

L’outil de ges­tion­naire de mots de passe LastPass lancé en 2008, ap­par­tient désormais à la société amé­ri­caine LogMeIn. LastPass est conçu pour stocker et gérer tous les mots de passe dont vous avez besoin pour vos activités en ligne usuelles. À cette fin, l’outil peut être utilisé soit via les na­vi­ga­teurs standards tels que Google Chrome, Firefox, Safari, Opera ou Microsoft Edge, soit intégré dans les barres d’outils des na­vi­ga­teurs Internet via une extension.

Il existe également des variantes pour les na­vi­ga­teurs mobiles ainsi que les ap­pli­ca­tions Windows Phone, Android et iOS. L’uti­li­sa­tion de l’ap­pli­ca­tion Web est gratuite, et pour un prix mensuel minime, vous pouvez acheter le pack premium (surtout pour les uti­li­sa­teurs privés) ainsi que deux packs business qui per­met­tent d’accéder à davantage de fonctions.

La base de données de mots de passe, appelée « Tresor » sur LastPass, est ac­ces­sible à tout moment sur n’importe quel appareil, soit via le bouton de la barre de na­vi­ga­tion, soit via l’ap­pli­ca­tion Web. L’al­go­rithme de chif­fre­ment AES-256 et les fonctions de hachage (PBKDF2 SHA-256) protègent les mots de passe. Le chif­fre­ment a toujours lieu au niveau de l’appareil, de sorte que le mot de passe maître et les clés d’encodage ou de décodage sont toujours stockés lo­ca­le­ment et ne sont pas envoyés aux serveurs LastPass. Vous pouvez également choisir parmi une variété de solutions d’au­then­ti­fi­ca­tion multi-niveaux, telles qu’un code SMS ou un composant matériel sup­plé­men­taire. Le Tresor Web se ca­rac­té­rise également par les spé­ci­fi­ci­tés suivantes :

• Saisie au­to­ma­tique du mot de passe
• Prise en charge de l’en­re­gis­tre­ment des em­preintes digitales
• Ré­cu­pé­ra­tion sécurisée du mot de passe
• Syn­chro­ni­sa­tion au­to­ma­tique avec tous les terminaux
• Gé­né­ra­teur de mots de passe intégré
• 1 Go de stockage de fichiers chiffré (à partir de l’édition Premium)

Les packs business pour en­tre­prises per­met­tent d’utiliser le ges­tion­naire de mots de passe par plusieurs uti­li­sa­teurs. D’un côté, vous disposez donc d’outils d’ad­mi­nis­tra­tion cen­tra­li­sés pour gérer les dif­fé­rents accès des employés ; de l’autre, tous les employés reçoivent leur propre mot de passe Tresor qu’ils gèrent de manière autonome. Pour les grosses en­tre­prises, l’abon­ne­ment En­ter­prise permet de con­fi­gu­rer votre propre politique de sécurité et d’accéder à l’API du ges­tion­naire de mots de passe. De plus, si vous avez la moindre question, le service client est à votre écoute.

1Password

En créant AgileBits 2006 qui visait à dé­ve­lop­per des produits Web innovants pour les en­tre­prises, des en­tre­pre­neurs se sont vite rendu compte qu’ils avaient déjà la bonne idée avec leur outil interne de gestion de mots de passe et d’in­for­ma­tions de for­mu­laires. Ainsi, des millions d’uti­li­sa­teurs ont utilisé le ges­tion­naire de mots de passe de l’en­tre­prise 1Password.

L’ap­pli­ca­tion payante est dis­po­nible pour les systèmes de bureau macOs et Windows ainsi que pour les systèmes d’ex­ploi­ta­tion mobiles Android et iOS. Grâce aux ex­ten­sions de na­vi­ga­teur pour Google Chrome, Opera, Firefox et Safari, vous pouvez également utiliser 1Password sur d’autres pla­te­formes.

1Password s’appuie sur le chif­fre­ment de bout en bout (AES-256) : toutes les in­for­ma­tions de contact et les mots de passe que vous importez dans le programme sont encodés avant qu’ils ne quittent vos appareils. Les clés pour le processus d’encodage sont cons­tam­ment protégées par le mot de passe maître, qui est renforcé par une clé de sécurité 128 bits stockée lo­ca­le­ment.

Vous recevrez au­to­ma­ti­que­ment cette clé d’accès pour les serveurs du four­nis­seur après vous être connecté au ges­tion­naire de mots de passe. Même si des hackers réus­sis­saient à avoir accès à ces serveurs qui sont hébergés sur Amazon Web Services (AWS) comme l’ap­pli­ca­tion Web elle-même, vos données restent chiffrées. Voici quelques ca­rac­té­ris­tiques de 1Password :

• Accès hors ligne possible
• Syn­chro­ni­sa­tion au­to­ma­tique avec tous les appareils utilisés
• Éva­lua­tion au­to­ma­tique du niveau de sécurité de tous les mots de passe
• In­té­gra­tion facile des logins existants
• Rac­cour­cis per­son­na­li­sables pour les con­nexions au­to­ma­tiques
• Pos­si­bi­lité de regrouper les mots de passe (dossier ou système de balises)
• 1 Go d’espace de stockage pour les documents

Cet outil de gestion possède son propre gé­né­ra­teur de mots de passe per­met­tant ainsi de créer des com­bi­nai­sons sé­cu­ri­sées. Des con­fi­gu­ra­tions peuvent être ef­fec­tuées pour régler la longueur du mot, les pos­si­bi­li­tés de pro­non­cia­tion, ou sim­ple­ment les chiffres et ca­rac­tères spéciaux que vous souhaitez in­tro­duire. Le gé­né­ra­teur peut également être utilisé pour créer de nouveaux mots de passe pour les comptes existants.

Vous pouvez adopter dif­fé­rentes licences avec 1Password : les uti­li­sa­teurs privés ont un choix assez con­for­table avec une version de base (pour une personne) ou un forfait familial (pour cinq personnes). Les en­tre­prises ont le choix entre deux business plans, à savoir « Teams » (pour 10 uti­li­sa­teurs), « Business » (pour les PME et les grandes en­tre­prises), qui pré­sen­tent des fonctions diverses, comme une console d’ad­mi­nis­tra­tion, un contrôle d’accès avancé ou un ges­tion­naire de compte personnel.

Dashlane

En 2012, la société amé­ri­caine Dashlane lance son outil pro­prié­taire de gestion de mots de passe du même nom, qui est aujourd’hui l’une des solutions les plus réussies sur le marché. Après une période d’essai, vous pouvez mettre à niveau le ges­tion­naire de mots de passe vers une version premium. Dashlane propose deux versions pour les par­ti­cu­liers (« Premium » et « Friends and Family ») ainsi que pour les en­tre­prises (« Business » et « En­ter­prise »). Ces dernières con­tien­nent des fonctions d’uti­li­sa­tion commune telles qu’une console de gestion centrale ou une option de partage de mot de passe. En plus des versions de bureau pour Windows et macOS ainsi que des ap­pli­ca­tions pour iOS et Android, il existe des plugins pour Chrome, Firefox, Safari, Opera et Edge qui per­met­tent d’intégrer Dashlane dans les na­vi­ga­teurs Internet.

L’interface uti­li­sa­teur de Dashlane est es­sen­tiel­le­ment divisée en trois domaines : sous la rubrique « Password Manager », vous trouverez les mots de passe en­re­gis­trés (chiffrés AES-256). Le logiciel im­plé­mente au­to­ma­ti­que­ment les données de connexion exis­tantes. Le petit plus est l’option « Password Changer », qui permet de changer au­to­ma­ti­que­ment un mot de passe pour tous les sites Web pris en charge ; Dashlane prend ainsi en compte la mo­di­fi­ca­tion en se con­nec­tant aux dif­fé­rents sites. Vous pouvez également accéder au tableau de bord de sécurité et créer des notes per­son­nelles protégées par mot de passe.

Sous la rubrique « Wallet », vous pourrez en­re­gis­trer vos coor­don­nées per­son­nelles, vos reçus de paiement ou encore des copies de documents (par exemple carte d’identité ou permis de conduire). Enfin la section « Contacts » contient toutes les fonc­tion­na­li­tés dont vous avez besoin pour partager l’outil. Voici par ailleurs d’autres ca­rac­té­ris­tiques in­té­res­santes :

• Rem­plis­sage au­to­ma­tique des for­mu­laires et logins
• Aver­tis­se­ments de sécurité pour les mots de passe non sécurisés
• Ca­té­go­ri­sa­tion des mots de passe
• In­ter­faces diverses pour l’im­por­ta­tion de mots de passe (entre autres de na­vi­ga­teurs comme Chrome et Firefox, mais aussi d’autres outils comme KeePass, LastPass ou 1Password)
• Export de données (format Excel ou CSV)
• His­to­rique

Comme beaucoup d’autres ges­tion­naires, Dashlane dispose d’un gé­né­ra­teur intégré qui produit des mots de passe de jusqu’à 28 ca­rac­tères. Vous pouvez choisir d’utiliser des lettres, des chiffres, des symboles, des ma­jus­cules et des mi­nus­cules.

Les uti­li­sa­teurs peuvent syn­chro­ni­ser les données saisies et les mots de passe sur l’ensemble des appareils afin d’avoir les nouvelles in­for­ma­tions dis­po­nibles à tout moment. A noter également, Dashlane propose une au­then­ti­fi­ca­tion à deux facteurs dans ses packs payants : dans ce cas, le mot de passe maître est associé à une clé YubiKey U2F située sur un pé­ri­phé­rique de stockage externe.

Un risque subsiste

Les ges­tion­naires de mots de passe sont utiles pour générer des mots de passe complexes et sûrs ou pour les gérer. Là où la mémoire fait défaut, le ges­tion­naire in­ter­vient ! Mais le fait que tous les mots de passe soient gérés par un logiciel entraîne aussi le grand in­con­vé­nient de ces pro­grammes. En effet, si l’on perd ou si l’on oublie la clé maîtresse, on se retrouve devant une porte fermée pour toutes les ap­pli­ca­tions.

De plus, on est toujours dépendant de la base de données créée ; en cas d’ins­tal­la­tion locale, on ne peut donc profiter des ges­tion­naires que sur son or­di­na­teur personnel. Dès que l’on choisit une solution mobile ou en nuage, le risque de sécurité augmente à nouveau. En effet, aucune de ces solutions ne garantit une pro­tec­tion à 100 %.

Un système de mot de passe personnel comme al­ter­na­tive sûre

Si l’on souhaite rester in­dé­pen­dant des bases de données et des pro­grammes, il faut miser sur sa propre mémoire ! Une option ju­di­cieuse est alors un système dans lequel on modifie un mot de passe maître sûr selon un schéma prédéfini, en fonction du portail Web que l’on souhaite utiliser. De simples tactiques de mé­mo­ri­sa­tion peuvent aider à se souvenir du mot de passe principal. Pour en savoir plus, consultez notre guide « Comment choisir un mot de passe sécurisé ? ».