Utiliser KeePass : gestionnaire gratuit de mots de passe
J’utilise KeePass depuis un bout de temps, en parallèle de LastPass par souci de simplicité avec “le reste de la famille” :) Ce dernier servant à partager les comptes ..Drive, Amazon, UGC, FNAC etc. Je présente KP pour Linux mais c’est évidemment la même chose sur Windows & OSX.
Quel intérêt ?
Faut le reconnaître, KeePass au 1er regard ça fait vieux et pas rassurant. Enfin sous Linux du moins, et comparé aux LastPass, DashLane etc. Et un ami m’ajoutait : “On dirait un site des années 2000”. Pour un utilisateur lambda l’apparence compte beaucoup, plus c’est beau et moderne, mieux c’est. C’est pas faux (si, j’ai compris !) mais c’est pas vrai non plus. Bref. KP, en sus d’être Open Source, c’est gratuit, alors que LastPass coûte 12€/an et DashLane 40. C’est déjà un argument en soi, voire 2.
Le suivant, à mon sens, c’est la sécurité. Je ne doute pas que les serveurs de LP et DL soient très bien sécurisés, ou presque, mais au moins je stocke moi-même ma base de données KP. Et franchement, à part à s’appeler SNOWDEN ou être un militant de la Liberté dans une dictature, voire un journaliste, qui va venir pirater mon PC pour y prendre ma base de données ? Et encore, elle est chiffrée et on peut aussi la stocker sur une partition ou un container chiffré qu’on ouvre pour l’occasion. Et on peut tout à fait de nos jours copier notre BDD sur nos Clouds, afin d’en assurer une ou des sauvegarde.s. Et c’est compatible avec YubiKey.
En parlant de chiffrement
AES et Twofish sont encore réputés “non cassés” (par la NSA). La version 2 de KP ne comporte par défaut qu’AES, plus utilisé que Twofish, mais ce dernier s’ajoute via un plugin. AES “serait” à préférer du fait de sa compatibilité avec le multicores, lui permettant de chiffrer/déchiffrer plus vite. Sincèrement à notre niveau, à moins d’avoir une BDD de 1000 pwds, ça ne se verra pas
[collapse]
AES et Twofish sont encore réputés “non cassés” (par la NSA). La version 2 de KP ne comporte par défaut qu’AES, plus utilisé que Twofish, mais ce dernier s’ajoute via un plugin. AES “serait” à préférer du fait de sa compatibilité avec le multicores, lui permettant de chiffrer/déchiffrer plus vite. Sincèrement à notre niveau, à moins d’avoir une BDD de 1000 pwds, ça ne se verra pas
Le plus déroutant quand on vient de LP ou DL c’est de se rendre compte en installant KP qu’il ne contient que le stricte nécessaire à son utilisation. Et ce qui peut s’apparenter à une faiblesse est pour moi une force, un autre argument : on peut modeler son gestionnaire de mots de passe comme on le souhaite et selon nos besoins via une liste des plugins conséquente.
Et le second effet KissKool c’est quand on se rend compte que “ça marche pas avec mon navigateur”. Non en effet, c’est un gestionnaire de pwds, donc rien à voir avec un navigateur. Fort heureusement grâce aux plugins, tout s’arrange & simplement. Nous le verrons par la suite.
Il existe la version Classic (version 1) et la “Pro” (version 2) dont voici les différences. Clairement ceux qui sont en Classic sont ceux qui n’ont pas pris la peine de migrer en V2 parce que la 1 leur suffit.
Si je stocke moi-même ma base de données, je ne peux pas utiliser KP sur plusieurs périphériques ?
Le principe de base est que la fameuse base de données doit de fait être partagée. Il y a plusieurs solutions :
– L’utilisation d’un plugin qui permet une synchronisation via un Google, Amazon, OneDrive, HubiC, DropBox etc, voir backup & Sync,
– Le stockage simple de la BDD sur un Cloud accessible par chaque périphérique. C’est mon cas.
C’est compatible Linux ?
KeePass/2 est compatible, via Mono.
KeePassX (v2), est une version pour Linux et OSX MAIS elle n’accepte pas les plugins et n’a donc pas de solution pour fonctionner avec un navigateur. Il en existe une version modifiée intégrant le support HTTP, plus vraiment maintenue, néanmoins fonctionnelle.
Je confirme donc que j’utilise KeePass2 sur Linux, plus particulièrement la version ArchLinux. Et voici mes plugins (que je détaille au fil de cet article) :
- Traduction FR
- KeePassHTTP : liaison avec navigateurs
- PassIfox : plugin Firefox qui fonctionne avec KPHTTP
- ChromIpass : même chose, pour Chromium/Chrome
- Favicon : télécharge les favicons des sites (100% inutile mais !)
- Quality : ajoute une colonne indiquant la force du pwd
- DataBaseBackup
- KPEnhancedListview : ajoute quelques options
- PwdCounter : permet de savoir si un pwd est utilisé plusieurs fois
Et sur smartphone ?
Sur iOS je suppose que c’est cette application. Pour Android il existe notamment KeePassDroid, qu’on trouve sur F-Droid. J’en parle à la fin.
Petit point sur les plugins
Sous Linux, il faut chercher votre dossier d’installation et les extraire (ce sont des .plgx) dedans. Sous Windows j’avoue ne pas savoir. Par exemple chez moi je dois extraire les plugins dans /usr/share/keepass/plugins. Il existe une multitude de plugins sur le site officiel comme sur GitHub par exemple. Renseignez-vous bien avant d’en utiliser un, que ce ne soit pas une porte dérobée pour accéder à vos données.
Je vous fais plus haut part de ma liste de plugins, libre à vous de les utiliser ou non. KP fonctionne parfaitement sans. KPHTTP est cependant indispensable pour utiliser KP via un navigateur.
Utilisation
Pour cet article j’ai retiré mes bases de données (après en avoir fait 2 copies en bon parano) et vais en créer 2 autres. Une vierge et une pour importer mes données LastPass. Et comme j’ai déjà des plugins d’installés vous n’aurez peut-être pas tout à fait la même interface et les mêmes options.
Comme je le disais plus haut, l’interface n’est pas très sexy ^^’
On peut tout de suite paramétrer quelques options, notamment le très pratique “Mettre en arrière plan après la copie des données dans le presse-papier”
Puis création d’une 1ère Base De Données, ici avec mot de passe mais vous pouvez utiliser une clé (GPG).
Et nous voici avec une BDD qui contient des exemples de groupes et d’entrées. Nous avons en effet la possibilité de créer des groupes afin d’y stocker nos entrées : Travail, Serveurs, Forums, Courses, Jeux…
Actions sur une entrée existante
Affichage d’une entrée
Le mot de passe de cet exemple est très faible (1234) et pas du tout à prendre comme exemple justement. Un mot de passe efficace est un mot de passe complexe, long et surtout sans logique ni composé (uniquement) de mots du dictionnaire. Non plus une date de naissance ou un nom etc.
KeePass permet donc de générer/modifier les mots de passe selon plusieurs options de caractères, longueur, entropie etc.
Voici typiquement le genre de pwd que j’utilise, si les sites le permettent… Ce qui n’est hélas pas le cas de tous, que ce soit pour les 80 caractères de long ou les spéciaux.
Import de données LastPass, DashLane etc
J’ai créé une nouvelle base de données ImportLastPass afin d’y importer les données de mon compte LP. Il faut commencer par exporter les données LastPass en format .csv. Le menu diffère un peu selon les navigateurs, voyez dans Tools/Advanced ou Tools/Export. Sous Firefox Linux par exemple il ne met pas d’extension au fichier d’export, pensez bien à l’ajouter.
Puis on repasse sur KeePass, sur la BDD voulue (chez moi le 2nd onglet) et menu Fichier/Importer, sélectionnez LastPass CSV puis votre fichier. Et… magiiiiieeeee !
Simple, non ? :)
Utilisation avec Firefox
C’est sensiblement la même démarche pour tous les navigateurs, du moment que vous y adjoignez le bon plugin. J’ai donc installé PassIFOX. Si vous êtes sous Windows KeeFox devrait faire le job mais ce n’est pas le cas sous Linux.
Il suffit ensuite de lancer Firefox pour qu’on nous demande de lier ce navigateur à notre KeePass via KeePassHTTP
Puis lors de la 1ère visite sur un site Web (depuis qu’on utilise KeePass) nous devrons valider l’accès aux données.
Et nous n’avons ensuite qu’à cliquer dans un champ de login pour utiliser le remplissage automatique.
Android
Puisque je partage mes bases de données entre mes périphériques (via Syncthing) je peux charger la BDD dans KeePassAndroid et l’utiliser de manière très simple. Pour le coup là j’ai pas eu le courage de remettre à 0 le mien et vous mets les screens de l’éditeur.
Alors, KP, c’est pour les geeks et paranos de la sécurité ?
Du tout, c’est pour ceux qui veulent un gestionnaire de mots de passe gratuit et fonctionnel ;-)