Quand on est inscrit a une multitude de services différents et que, comme moi, on préfère s’inscrire avec une combinaisons e-mail/mot de passe quand c’est possible plutôt qu’avec un service tiers en OAuth, il arrive vite qu’on se retrouve avec un nombre incalculable de mots de passes plus long et compliqué les uns que les autres
Heureusement les Gestionnaires de mot de passe sont là pour nous aider! Jusqu’à maintenant, j’utilisais directement le gestionnaire de mot de passe de Firefox qui présente plusieurs avantages:
- Intégré a Firefox: donc deux logiciels en un c’est toujours pratique
- Simple et efficace: il fait ce qu’on lui demande et il le fait bien, avec même une génération de mot de passe intégré pour la création de nouveaux comptes
- Synchro Android: Si on a un compte Firefox, on peut synchroniser ses mots de passe très facilement avec le navigateur mobile (en l’occurrence Android pour moi)
- Open Source: C’est un service auquel on peut faire confiance quand a la confidentialité des données
Cependant, plusieurs critères sont venu remplacer les précédents dans mon ordre de priorité:
- je me pose la question de la sécurité depuis un moment. Même si les mot-de-passe sont chiffrés sur les serveur de Mozilla, on est jamais a l’abri d’une faille de sécurité qui mènerait a un piratage. D’autant plus que ce n’est pas protégé par un mot de passe global donc j’imagine que la clé de dé-chiffrement est quelque part chez Mozilla! (Ou alors j’ai raté quelque chose?)
- Si, pour une raison ou pour une autre, les services de Mozilla tombent en panne, je n’ai plus accès a rien! Et autant vous dire qu’après 8/9 ans d’utilisation, je commence a en avoir un paquet de mots de passe 🙃
- Si j’ai besoin d’utiliser un autre navigateur que Firefox sur mon ordinateur, ou même utiliser un autre logiciel avec une connexion par mot de passe, je dois aller manuellement ouvrir mon navigateur pour aller chercher et copier-coller moi-même le mot de passe
- Les serveurs de Mozilla sont américain. C’est un élément assez mineur étant donné que c’est tout de même une entreprise qui fait de l’open-source et qui est très transparente, et que cette entreprise ne va pas exploiter mes données a des fins commerciales, mais la situation géopolitique actuelle fait que j’en ai marre d’avoir toutes mes données sur les serveurs US, alors que pour de nombreux services il existe des alternative « locales » (A minima Européennes) ou décentralisées.
- Je veux quand même un outil qui soit au minimum open-source, au mieux un logiciel libre, et auto-hébergeable
- Et évidemment il faut que je puisse me synchroniser avec mon téléphone Android!
Donc j’ai fait un tour des différentes solutions existentes, et a priori le grand gagnant dans le domaine c’est KeepassXC!
Je ne vais pas faire un tuto d’utilisation de ce logiciel, mais pour faire simple: Il coche toutes les cases de ce que je viens de citer plus haut! Voici donc comme je m’y suis prit pour migrer de Firefox a KeepassXC:
Étape 1: Exporter mes mot de passe stockés sur Firefox
Cette partie-là est rendue extrêmement facile par Mozilla! Il suffit de retourner sur la page que j’ai montré un peu plus haut, et de sélectionner « Exporter les mots de passe ». Ce qui nous donne un magnifique fichier motdepasse.csv
Étape 2: Créer une base KeepassXC et importer les mots de passe
KeepassXC fonctionne différemment: On va d’abord choisir un endroit ou stocker noter base de données, et ensuite dire au logiciel de se connecter dessus. Mais il faut garder une chose en tête: Pour que je puisse me synchroniser avec une app Android, il me faut un endroit en cloud, accessible a la fois depuis mon ordinateur et mon smartphone!
Heureusement je me suis mis en place un serveur Nextcloud hébergé chez Infomaniak, qui est déjà connecté sur ces deux devices, je n’ai plus qu’a enregistrer le fichier dessus!
Ce fichier de base de donnée est chiffré grâce a un mot de passe que vous allez définir a cette étape. Il est TRÈS important de ne pas perdre ce mot de passe central, car sans lui il est impossible d’ouvrir une base KeepassXC!
Pour ma part, j’ai opté pour un mot de passe très long, et sans caractères spéciaux (les ^ m’ont posé problèmes a mon premier essai…), et je l’ai noté sur un fichier dans un endroit ou je suis sûr de ne pas le perdre.
Il faut maintenant y accéder depuis Android. Mais heureusement There’s an App for That : Keepass2Android
Et cette app, bien que aussi old-school dans sa version ordinateur, est très efficace. Elle propose même directement une intégration avec Nextcloud! (Qu’on ne voit pas dans la capture d’écran volé plus bas…)
Si tout s’est bien passé, et que vous avez pu vous connecter du premier coup a votre base: Félicitations vous avec maintenant votre gestionnaire de mot de passe fonctionnel!
Il reste une dernière étape: Ré-importer les mots de passe de Firefox. Pour cela il vous suffit d’aller dans votre logiciel KeepassXC et de cliquer sur Database>Import et de suivre les instructions pour le format .CSV
Et voila! 🎉
J’ai essayé de garder cet article concis, il y a de nombreuses choses dont je n’ai pas parlé (Utiliser Keepass2Android comme gestionnaire par défaut sous Android, comment j’ai galéré a cause d’un bug de gestion de caractères spéciaux dans le mot de passe général qui m’a fait tout recommencer, l’intégration a Firefox par le biais d’une extension, etc.) mais je pense qu’avec ceci + la documentation de KeepassXC vous devriez pouvoir vous en sortir 😉
Je vais voir sur le long terme ce que cet outil va donner, mais pour l’instant je vois plusieurs « soucis » assez mineur:
- Une utilisation beaucoup moins ergonomique et jolie que plusieurs autres concurrents, expliqué par le fait que c’est fait avec beaucoup moins de budget
- C’est assez rébarbatif d’avoir a remettre son mot de passe central toutes les 15minutes sur PC, alors que sur Android je trouve que l’utilisation est plus facile
- Sur le long terme, je me demande comment sera géré les différences de synchronisation (Si je fais une modification sur mon Android, et une autre sur mon PC en même temps ou sans connexion internet pendant un moment, comment le conflit va être réglé ?)
Néanmoins je suis assez content du résultat, et je me sens un peu plus serein a présent avec un tel outil, qui a même eu droit a sa certification ANSSI tout récemment!
Il ne reste plus qu’à voir dans le temps ce que ça va donner