Fin avril, Proton annonçait que son gestionnaire Pass serait disponible d'ici à la fin de l’année. Il n’aura finalement fallu qu’un petit peu plus de deux mois pour le terminer.
Proton Pass assure toutes les missions élémentaires d’un gestionnaire de mots de passe, dont la création de mots longs et aléatoires, leur enregistrement, le remplissage automatique dans les formulaires, le second facteur d’authentification, les coffres-forts thématiques, la création de notes sécurisées ou encore l’import de bases depuis les solutions concurrentes via un fichier CSV.
Proton oblige, toutes les données sont chiffrées de bout en bout. À noter une fonction encore peu répandue, la création automatique d’alias quand on souhaite cacher sa véritable adresse email lors d’une inscription. La société précise que le résultat d’un audit de sécurité (réalisé par un tiers) sera publié dans les semaines qui viennent.
Mais, s’agissant d’une première version, les pistes d’améliorations restent nombreuses. On ne peut pas par exemple partager les coffres-forts. Il n’y a pas non plus de surveillance des fuites de données impliquant les identifiants de l’utilisateur, ni d’avertissement en cas de doublon.
Des applications pour Android et iOS sont déjà disponibles, de même que des extensions pour Chrome, Firefox et Brave.
Côté tarifs, il y a une bonne surprise : une offre gratuite est présente. Elle ne gère pas les seconds facteurs d’authentification et ne permet la création que de dix alias, mais elle a pour elle de pouvoir être installée sur l’ensemble des appareils et ne pas limiter le nombre de mots de passe que l’on peut stocker.
Pour débloquer toutes les fonctions, il faudra passer par l’abonnement Proton Pass Plus : 3,99 euros par mois avec engagement d’un an, ou 2,99 euros pendant deux ans. Cependant, jusqu’au 28 juillet, on peut prendre cet abonnement pour 1 euro par mois (facture annuelle) et maintenir ce tarif tant que l’on ne se désabonne pas.
Enfin, les personnes abonnées à Proton Unlimited (à partir de 7,99 euros par mois) reçoivent automatiquement Proton Pass Plus dans leur bouquet de services.
Commentaires (45)
#1
Tiens c’est marrant, j’ai installe proton pass 2 heures avant la parution de l’article!!!
Phase de test pour l’instant, j’utilise Bitwarden depuis plusieurs annees dont je suis tres content.
Pas encore trouve comment remplir les formulaires sur Android avec Proton Pass
#1.1
Et moi Dashlane.
#1.2
Exactement tout comme toi. J’avais l’appli d’installé depuis quelques jours mais j’ai seulement réussi à accéder au service hier puis j(ai vu les nombreux articles après.
Moi aussi je viens de Bitwarden (dont je suis très content). L’interface Proton est super agréable et l’intégration dans les barres de formulaire est mieux intégrée (icône directement dans la barre). Par contre je sais toujours pas si je dois garder Bitwarden pour déverrouiller mon compte Proton comme c’était le cas avant
#2
J’utilise Bitwarden et comme on peut héberger sa propre instance (vaulwarden ou bitwarden qui en a simplifié l’install il n’y a pas longtemps), j’avoue que je trouve difficile d’aller ailleurs.
#3
Grrr il existe déjà un projet dont la commande utilise “pass”:
https://www.passwordstore.org/
(que j’utilise et qui a l’avantage de ne dépendre que d’un repo git hébergé ou l’on veux plutôt que d’être stocké chez un tiers, fut-il proton ). Je l’utilises avec la commande pwgen pour créer les mots de passe…
#4
j’utillise brave avec l’extension kee pour acceder à mon coffre keepass synchronisé entre mes machines avec syncthing.
pas de cloud, tout chez moi…
#4.1
Pareil, mais je rencontre des limites, notamment sur le partage de sous ensembles de mots de passe et plusieurs lieux, ce qui me fait réfléchir à Bitwarden.
Et comment le téléphone se sait-il compromis ?
#5
C’est un peu dommage.
On a une approche très sécurisée pour protéger l’utilisateur contre des attaques à distances mais par contre une très grande légèreté dans la sécurisation pour une utilisation quotidienne où c’est souvent le téléphone qui est compromis. En résumé, si on se fait pirater son téléphone, l’application devrait redemander le mot de passe maitre et ce n’est pas le cas…
Un petit fil qui en parle : https://www.reddit.com/r/ProtonPass/comments/14hxvof/biometricpin_protection_does_not_protect_you_if/
#5.1
C’est le cas de la pluspart des gestionnaire. Keepass par exemple dit ne pas se prémunir lorsque la machine en elle même est compromise.
#5.2
je ne suis pas persuadé qu’on se fasse pirater son téléphone si facilement (au sens le pirate peur récupérer le PIN), surtout pour un utilisateur de Proton, donc qui est un peu soucieux de sa vie privée.
Mais au delà du piratage, je ne comprends pas trop la problématique, Proton ne demande pas pour renseigner un mot de passe ou accéder au gestionnaire d’entrer le PIN systématiquement ? (ou biométrie), juste que le smartphone soit déverrouillé ?
#6
Un service de plus dans une galaxie toujours plus grande et toujours aussi fermée.
#7
Ne pas s’en préoccuper dans sa politique de sécurité pour se focaliser simplement sur les attaques à distance, ce n’est pas sérieux et vraiment dommage…
#7.1
C’est aussi à l’utilisateur de faire ses choix, je ne pense pas qu’il soit obligatoire d’activer le déverrouillage du coffre fort par biométrie, en tout cas, sur bitwarden, ce n’est pas le cas, on peu garder le déverrouillage uniquement avec le mot de passe maitre ou un code PIN spécifique.
#7.2
Merci d’avoir détaillé ta pensée, mais à qui de faire la vérification, quand bien même ce serait possible ?
app > le smartphone a changé son PIN
smartphone > coucou les apps, PIN changé
Comment c’est nommé d’ailleurs dans une politique de sécurité ?
#7.3
Si on utilise le dispositif de verrouillage du téléphone pour autoriser à accéder au contenu de l’application (biométrie en général), cette dernière doit en cas de modification du dispositif se verrouiller et imposer de confirmer qu’on est bien l’utilisateur autorisé. En général, c’est en rentrant un mot de passe maitre compliqué mais en fait c’est tout dispositif 2FA prévu pour confirmer initialement. J’espère que je suis clair…
Dans le cas que tu cites : coucou les Apps, Pin ou biométrie changé, c’est bien vous ? Merci de confirmer comme prévu initialement…
C’est d’autant plus important que l’on parle d’applications qui gèrent des données, des mots de passe ou sécurisent notre argent.
Un autre test à faire que j’ai fait sur mon iPhone avec TouchID, j’ai rajouté un doigt ;), 1password m’a demandé de rentrer à nouveau mon mot de passe (alors que TouchID suffit en principe), mes applications bancaires également…
je crois que L’ANSSI en parle quelque part et le définit avec précision. De manière plus générale, c’est empêcher un accès en cascade
#8
Puisque l’on parle beaucoup des gestionnaires de mots de passe en ce moment sur NextINpact, qu’en est-il du gestionnaire de mot de passe iCloud d’Apple ? Y-a-t-il eu des analyses de sécurité de faites par la presse spécialisée ?
#9
#10
Je ne comprends pas. En quoi les services proposés par Proton sont-ils fermés ? J’ai l’impression qu’ils sont au contraire plus ouverts que la concurrence (ProtonPass ne semble pas encore concerné par l’ouverture du code source mais ça ne devrait pas tarder).
#10.1
Car toute la galaxie proton est pensée pour fonctionner avec la galaxie proton, pas vraiment avec “le monde extérieur”
#11
Dommage pour les gens comme moi qui ont un abonnement Mail Plus, l’offre à 1€ n’est pas d’actualité, la seule option est de passer à l’unlimited à 7,99€/mois. Ça me fait le gestionnaire de mot de passe à 4,50€/mois, ça pique un peu. Dommage, à 1€ j’aurais peut-être migré depuis KeepassXC vers leur offre, d’autant plus que je trouve l’intégration des alias mail intéressante et bien pensée.
#12
Tu peux tenter de leur faire ce retour sur https://protonmail.uservoice.com/forums/935538-accounts-payments
#12.1
Merci pour l’idée et le lien. C’est fait :-)
#13
Je ne trouve pas cette info sur leur site, où peut-on la vérifier ?
#14
Ils permettent enfin de rapatrier les mdp de firefox https://proton.me/support/pass-import-firefox
#15
J’ai testé hier en migrant mon coffre Bitwarden vers Proton Pass. Le produit ne m’a pas semblé assez mature pour le moment. Mais plutôt joli.
Par exemple, je n’ai pas réussi à déplacer en masse des credentials vers un autre vault (puisqu’ils n’ont pas d’interface en ligne comme Bitwarden, faut forcément tout faire depuis l’extension pour l’instant). Typiquement, mes mots de passe professionnels (oui, car le boulot ne propose aucune solution de stockage de credentials, donc j’utilise mon Bitwarden perso).
Je n’ai pas réussi non plus à obtenir de la finesse dans les sous-domaines. Chez Bitwarden, tu peux demander une détection par domaine (bidule.com) ou par nom d’hôte (truc.bidule.com). Je n’ai pas trouvé d’équivalent chez Proton Pass alors le soft me proposait 10 propal pour mes mots de passe professionnels qui sont différents sur les outils/sous-domaine d’un même domaine.
Enfin, et c’est plus pénible, je n’ai pas trouvé non plus de gestion des champs custom. Le web est truffé de sites fantaisistes dans leur manière de nommer les champs login/password et Bitwarden est pour le moment meilleur sur ce point. On peut même cocher des cases “Se souvenir du mot de passe” sur certains formulaires grâce à des boléens.
Donc : OK cool mais pas mûr.
#16
Dans les différences avec Bitwarden, j’ai noté aussi qu’ils n’ont pas de raccourci clavier pour remplir les champs enregistrés d’une page (Ctrl+Maj+L). Il faut forcément cliquer dans un champ pour voir surgir (ou non !) la suggestion de credential à renseigner. D’ailleurs, j’ai eu des ratés dès le début, sur certains sites, l’extension ne réagissait que sur le champ password, jamais sur le login.
Ils n’ont pas non plus d’autofill (qui est déconseillé par Bitwarden mais qui existe à nos risques et périls, pour les raisons que l’on connaît).
Et je n’ai pas essayé la 2FA via Proton Pass mais je ne suis pas certain qu’elle soit de la même nature que Bitwarden : code 2FA copié dans le presse-papier automatiquement après avoir claqué les credentials, prêt à être collé.
Bref, plein de petites subtilités UX qui ne me feront probablement pas larguer Bitwarden de sitôt.
#17
C’est l’autofill au chargement d’une page qui est déconseillé: https://bitwarden.com/help/auto-fill-browser/#on-page-load
L’auto-fill que tu enclenche manuellement reste la solution la plus safe et est à privilégier par rapport au copier/coller. En copiant ton password, tu laisses le mot de passe en clair dans le presse-papier (au minimum le temps nécessaire pour le coller), qui peut alors être lu par d’autres softs et si on fait pas gaffe de désactiver la conservation d’éléments dans le presse-papiers sur certains systèmes, autant dire que les password ne sont plus si secrets que ça ^^
#18
J’ai pas suivi le débat, mais ce qui m’a surpris c’est que Proton Pass propose uniquement un PIN à 6 chiffres, et est désactivé par défaut. Alors que sur Bitwarden j’avais un mdp à genre 15 caractères (chiffres, lettres, spéciaux, majuscules etc). Ça me parait un peu faiblard. Ça va surement être amélioré par la suite. Mais en plus par défaut ça reste ouvert, que ce soit sur Android ou sur navigateur.
Bizart vu comme ils insiste toujours sur une surprotection “Vos données sont chiffrées avec le chiffrement AES-GCM 256 bits, qui est résistant au calcul quantique (ne peut pas être décodé par les ordinateurs quantiques). Personne ne peut lire ou créer de nouvelles clés de coffres-forts, pas même Proton.”
“Sécurité physique
L’infrastructure de ProtonMail se situe dans l’un des centres de données les plus sécurisés en Europe, en dessous de 1000 mètres de roche.
Chiffrement complet du disque et stockage dans des centres de données sécurisés
Nous avons massivement investi pour posséder et contrôler notre propre matériel serveur sur plusieurs sites en Suisse afin que vos données n’aillent jamais dans le nuage. Notre centre de données principal est situé sous 1000 mètres de roche de granit dans un bunker fortement gardé qui peut survivre à une attaque nucléaire. Ceci offre un niveau de protection supplémentaire en garantissant que vos emails chiffrés ne sont pas facilement accessibles à des tiers. Au niveau système, nos serveurs utilisent des disques durs entièrement chiffrés avec de multiples couches de mot de passe pour que la sécurité des données soit assurée même si notre matériel est saisi.”
#19
Un truc m’échappe : y a-t-il une app principale à installer sur macOS / Win ou est-ce uniquement via des extensions de navigateur ? Quand je vais sur la page de download, je lis :
“Install app and extension
Download and install the relevant apps and extensions to start using Proton Pass”
Y’a bien écrit app eg extension, mais dans le choix qui m’est proposé, il n’y a que des extensions (et Safari n’est pas encore proposé pour le moment).
#19.1
C’est ce que je me suis demandé aussi.
)
J’ai l’impression que c’est bien ça : app pour mobiles et extension de navigateurs pour PC.
Vu que les données sont en ligne, ça doit suffire… (en tout cas, ça me suffit pour ne pas l’utiliser
#20
Encore une fois je suis d’accord, cela n’arrive que très rarement et heureusement ! Mais pour une application qui va permettre dans son écosystème de tout stocker, c’est léger de ne pas le prendre en compte. J’ai fait le test, ce n’est pas le cas avec Proton pour le moment mais j’espère que cela va changer car leur démarche est intéressante…
#20.1
C’est le cas chez tout le monde en fait. Le pirate (ou la police) pourra toujours t’intimider à placer ton pouce sur le lecteur d’empreinte (ou t’endormir et le placer lui-même) et déverouiller le gestionnaire. Ensuite, il n’est pas nécessaire d’ajouter une empreinte ou un code PIN, tu peux toujours exporter les mots de passe et t’identifier sur chacun de ces services et prendre leur contrôle.
Si ces services sont protégés via une 2eme facteur qui n’est pas stocké sur le gestionnaire de mot de passe, c’est différent, mais ça protège les utilisateurs de Proton Pass de la même manière. Le fait qu’il ait introduit une “backdoor” via une deuxième empreinte n’y change rien.
Si vous considérez ça comme un risque, n’activez pas le déverouillage via empreinte en premier lieu et opter pour le PIN si le fait d’avoir à entrer le mot de passe régulièrement vous rébute de trop. C’est plus difficile d’imposer par la force de renseigner un code PIN.
#20.2
J’ai bien compris ton idée d’ajout d’emprunte ou de changement de PIN. Ma question était relative au fonctionnement de Proton, si tu veux ouvrir le gestionnaire de mot de passe, tu es quand même bien obligé de valider en PIN ou Biométrique avant ? Ou il faut juste que le téléphone soit déverrouillé ? Pour moi c’est là que ce serait super dangereux si ce n’est pas le cas. Après je suis OK que si tu ajoutes une emprunte, un logiciel de ce type qui conserve des données sensibles devrait redemander le mot de passe du coffre. C’est clairement pas top si ce n’est pas le cas !
Mais l’idée du piratage pour moi est un faux problème.
#21
#21.1
Je te rassure, je suis comme toi !
Et je ne passerai jamais pas une application de gestion de mot de passe qui est incluse dans un “package”, je la préfère bien séparée, bien sécurisée, et par une boite dont c’est le métier.
Par contre du coup, je n’ai toujours pas la réponse à ma question
#21.2
Oui merci pour l’échange.
Autant j’ai délaissé un maximum le smartphone que je ne trouve pas sécurisé mais c’est l’inverse de la majorité. Toujours intéressant (et retors) de comprendre comment assurer au mieux leur fonctionnement et PRA.
#22
Si quelqu’un peut prendre le contrôle de ton téléphone, ben il aura accès à tout. Peu importe que tu aies proton, bitwarden ou rien du tout dans le genre.
#23
Sur Windows, proton est bien mieux intégré que bitwarden. C’est franchement top
#23.1
A quel niveau ?
#24
Quand j’ai une page avec un formulaire, proton reconnaît immédiatement la page et affiche un pop up, un clic sur le pop up et le formulaire est rempli.
Bitwarden, il faut d’abord cliquer sur l’icône dans la barre d’outils
#24.1
La saisie automatique n’est pas activée par défaut sur bitwarden, mais elle s’active dans les paramètres.
#25
#25.1
“Sur proton, si tu veux ouvrir le gestionnaire de mot de passe, tu es quand même bien obligé de valider en PIN ou Biométrique avant ? Ou il faut juste que le téléphone soit déverrouillé ?”
J’espère quand même que c’est le cas !
Ah ok, sur Android c’est différent.
Pour ma part, si j’ouvre une page avec un formulaire, il faut que je clic dans un champ pour que le clavier s’ouvre et me propose automatiquement l’ID trouvé qui va s’auto compléter (avec swiftkey, je suppose que Gboard propose la même chose).
j’ai désactivé le fonctionnement par pop-up, c’est moins rapide que par le clavier, ca t’oblige à aller sur la pop-up, basculer sur bitwarden, sélectionner l’ID, revenir sur la page. Et je trouve que les pop-up c’était vraiment pas pratique.
Du coup, oui ce n’est pas exclu que ce soit mieux fait sur Proton ! Personnellement je n’y trouve pas contraignant par le clavier, mais c’est vrai que je valide l’utilisation du mot de passe Bitwarden par le clavier, c’est pas full auto.
#26
Sur Android en ce moment, je ne trouve pas l’option
#27