non mais de toute manière keepass a une grosse faille de sécu, il n’est pas incrackable par un ordi quantique.

du coup moi je laisse tomber, je vais stocker tous mes pass de 25car imbitables dans mon cerveau.

Aither99 a écrit :



Tiens je me pose une question pour les gens qui utilise un gestionnaire de mot de passe, vous faites comment dans les cas suivant :

• sur votre mobile (Y’a une extension ?)
  
  
  
  
  
  la base keepass sur Google Drive, et keepass2android sur le téléphone
  
  
  


• “Pas cher vous, pas sur votre PC” ? (Je pense principalement à spotify, je m’y connecte chez des potes pour pas qu’on ce tape des pubs, mais ça pourrai être pour consulté la couleur de la voiture de mon covoit’ aussi par exemple ^^).
  
  
  
  1- avec l’appli mobile, mais faut se farcir le pass à taper à la main " />
  
  2- keepass sur une clé usb.
  
  
  
  sinon pour une connerie comme spotify, je me fais pas ch!3r à utiliser un gros mot de passe. ^^

franchement, pour accéder à mes pass l’assaillant devrait: casser mon pass google, réussir à passer le 2FA, et casser le chiffrement de la BD keepass.

bon courage.



je précise que la NSA et le FSB ne sont pas dans mon threat model. ^^

Adhrone a écrit :



Je pense que @dvr-x voulais savoir comment tu transposais ton mot de passe depuis Keepass vers le champs de login.

• Si tu fais un copier-coller : un simple logiciels de surveillance de presse papier l’interceptera.
  


• Si tu le recopie visuellement : un screenlogger peut récupérer ton mot de passe.
  


• Si tu le tape : un keylogger peut prendre ton mot de passe.
  
  
  
  Edit : d’ailleurs, si je comprend bien, pour récupérer ton mot de passe tu dois :
  
  1- Déverrouiller ton compte Google avec un mot de passe (qui est sauvegardé où du coup ?) + ta clé U2F
  
  2- Déverrouiller ton compte Keepass
  
  3- Chercher le site
  
  4- Copier/recopier/lire/mémorisé (suivant ta méthode)
  
  
  
  Et du coup ton keepass est sauvegardé dans le cloud non ?
  
  
  
  J’ai vu plus user friendly comme méthode, je parle même pas de l’usage de cette solution depuis un mobile.
  
  
  
  
  
  keepass propose une option anti-keyloggers en opt-in car apparemment ça ne fonctionne pas avec toutes les fenêtres (en renseignement automatique). j’avoue que j’ai pas testé.
  
  
  
  j’utilise le renseignement automatique de champs.
  
  Le fichier est sur mon dur, automatiquement synchronisé avec Drive. je n’ai donc que la phrase de pass de keepass à saisir, ce qui est assez user-friendly. " />
  
  
  
  de toute manière, comme je le disais, si le terminal est compromis, tout est compromis, y compris les pass saisis à la mano et stockés dans le cerveau.
  
  du coup le raisonnement “je n’utilise pas de gestionnaire de pass à cause des keyloggers” est totalement à côté de la plaque.
  
  
  
  depuis un mobile j’utilise keepass2android, qui fonctionne globalement de la même manière: l’appli va toute seule chercher la base .kdbx sur mon Drive, je n’ai que la phrase de pass à saisir.
  
  Cette appli ajoute aussi une fonction de déblocage rapide: il suffit de saisir les 3 derniers caractères de la phrase de pass (c’est paramétrable) pour débloquer la base, et c’est limité à un essai. si tu te plantes il faut ressaisir la phrase entière. plutôt pratique sur mobile avec un clavier réduit.
  
  Keepass propose d’ailleurs un plugin qui permet de faire ça.
  
  
  
  enfin bref, je ne vois franchement pas quel désavantage il y aurait à utiliser une telle solution, à moins d’avoir un threat model qui inclue un acteur étatique (et encore, y’a du taf pour cracker tout ça).

je viens de tester l’option anti-keyloggers: ça fonctionne très bien sur un login google, à priori ça doit marcher partout sur un navigateur.



d’ailleurs c’est ce qu’ils disent à propos de cette option:



When can Two-Channel Auto-Type Obfuscation be used?

TCATO cannot be used with all windows. The target window(s) must support clipboard operations and navigation within edit controls using arrow keys. Additionally, the target user interface must not contain automation features like jumping focus when maximum length of a text box is reached (as seen in registration number dialogs for example).



Rules of thumb:



. Can be used in:

Browsers.

Windows programs with standard text boxes.



.Can not be used in:

Console-based applications (interactive terminals, …).

Games.



Because it doesn’t work with all windows, it’s an opt-in feature for each entry. You have to enable it explicitly on the ‘Auto-Type’ tab page in the ‘Edit Entry’ dialog.

non le bruteforce peut pas marcher, y’a qu’un essai possible pour l’authentification rapide (avec les 3 derniers car). c’est juste pour éviter de ressaisir toute la phrase de pass (en particulier sur mobile où c’est ultra chiant de saisir une grosse phrase de pass avec les car spéciaux et tout).

càd qu’il faut déjà l’avoir saisie entièrement avec succès pour activer cette fonctionnalité.

fonctionnalité qui est d’ailleurs en opt-in.

t’inquiète, vu les mecs qui utilisent keepass/keepass2android, si c’était foireux on serait au courant. " />



edit: et cette fonctionnalité est aussi paramétrable, ie tu peux dire que tu veux saisir par exemple les 5 ou 10 derniers caractères au lieu des 3 par défaut. mais c’est pas forcément le but, c’est juste une option de confort.