Proton n’en finit plus d’annoncer des nouveautés depuis quelques mois. Depuis juin, on a ainsi vu le gestionnaire de mots de passe intégré obtenir ses applications pour Mac et Linux, un équivalent de Google Docs avec une IA générative. Hier, on notait l’arrivée de nouveaux serveurs pour le VPN, du support de Stealth pour Windows et des icônes discrètes pour la version Android.
Et voilà que Proton annonce encore une nouveauté : la prise en charge de la biométrie pour Pass. Sous Windows, l’application gère ainsi Pass, tandis que sous macOS, c’est TouchID. Ce support est réservé aux personnes ayant au moins l’abonnement Pass Plus à partir de 1,99 euros par mois, ou la formule Unlimited.
Proton Pass ajoute en outre une fonction qui lui faisait défaut, la gestion des identités. On peut donc créer une identité et lui rattacher diverses informations : nom, courriel, numéros de téléphone, date de naissance, genre, adresses, numéro de Sécurité sociale, sites web, profils de médias sociaux et autres. L’objectif des identités est bien sûr de pouvoir remplir rapidement les formulaires.
« Identities vous permet d'organiser et de sécuriser plus facilement vos informations personnelles sur toutes les plateformes. Cette fonctionnalité est disponible pour l'ensemble de la communauté Proton Pass et est progressivement mise en place à partir d'aujourd'hui. Elle sera disponible sur toutes les principales plateformes », a précisé Proton dans son annonce hier soir.
Commentaires (27)
#1
#1.1
#1.9
#1.10
Certes le code est open-source, mais le véritable usage attendu du l'outil c'est via un compte Proton, se basant sur l'infrastructure Proton ; contrairement à KeePass où c'est à l'utilisateur de gérer le stockage, la disponibilité et la sécurité des données.
#1.2
#1.3
Autant, je comprends que l'on fasse payer par un abonnement des choses qui coûtent tous les mois, comme le stockage, la bande passante, les serveurs, autant une fonction qui est locale à l'ordinateur, j'ai plus du mal à comprendre.
Et ce d'autant plus qu'une empreinte digitale, n'est pas un moyen fiable d'authentification contrairement à ce qu'ils disent. Donc, faire payer une fonction qui affaiblit la sécurité pour la facilité d'utilisation, c'est très moyen pour une société qui vit en vendant de sécurité.
#1.4
#1.5
Pour t'identifier, aucun problème (savoir qui tu es), son utilisation par la police est là pour le prouver quand elle est utilisée correctement.
#1.6
pour des tests avec une photo en méga résolution ouais. je veux bien le croire.
Mais dans la vraie vie il va falloir se lever de bonne heure pour faire une photo de mes empreintes digitales..
#1.11
https://www.nouvelobs.com/rue89/rue89-nos-vies-connectees/20141228.RUE7217/pour-pirater-une-empreinte-digitale-cette-photo-suffit.html
Dans la vraie vie, tu as sûrement des photos de toi sur les réseaux sociaux et certaines où l'on voit bien tes mains. Reste le modèle de menace: une personne qui est assez motivée pour reproduire ton empreinte et déverrouiller ton appareil numérique.
Menace peu courante chez le grand public, mais dès que tu as des responsabilités sur des sujets sensibles …
Et j'ignore si il n'existe pas un moyen de simplier le processus : tu donnes une photos et il te sort la fausse empreinte 15min après.
#1.13
Par contre les empreintes d'Angela ne suffiront pas à déverrouiller sa base Proton, il faudra avoir accès à sa base Proton, et à son tel qu'elle a enrôlé avec sa base proton. ;)
#1.7
#1.8
#1.12
Tu ne pourras jamais utiliser ton empreinte pour déverrouiller tes données depuis un périphérique inconnu (alors uqe c'est possible avec un mot de passe):
Le service ne connait pas ton empreinte, mais seulement un certificat d'un tel ou PC, et c'est ce certificat qui est déverrouillé localement en biométrie.
#1.14
On est d'accord sur le fait qu'un mot de passe seul n'est pas le meilleur moyen d’authentification.
#1.15
=> c'est faux, ton empreinte ne sorts jamais de ton téléphone...
#1.16
Édit : le premier endroit où il y a tes empreintes digitales, c'est sur ton téléphone, pas dedans.
Historique des modifications :
Posté le 11/08/2024 à 14h42
Dès que tu prends quelque chose avec tes doigts, tu y mets tes empreintes digitales. Il n'y a plus qu'à les relever pour avoir ton secret.
#1.17
Ça aussi c'est faux : une auth par empreinte n’affaiblit pas la sécurité, la sécurité est celle d'un certificat, largement supérieur au mot de passe.
"Dès que tu prends quelque chose avec tes doigts, tu y mets tes empreintes digitales. Il n'y a plus qu'à les relever pour avoir ton secret."
Encore raté le secret n'est pas les empreintes, mais le certificat dans l'enclave de ton téléphone.
#1.18
#1.23
#1.24
#1.25
#1.19
#1.22
#1.20
(et, accessoirement, très difficile à changer)
Tu peux mettre tous les certificats du monde, si la passphrase c'est 1234, la sécu est foirée.
Historique des modifications :
Posté le 12/08/2024 à 08h27
Ce n'est pas la mécanique de certification derrière qui est contestée, mais le fait que sa clé de déverrouillage (l'empreinte digitale) est aisément reproductible.
Posté le 12/08/2024 à 08h27
Ce n'est pas la mécanique de certification derrière qui est contestée, mais le fait que sa clé de déverrouillage (l'empreinte digitale) est aisément reproductible.
(et, accessoirement, très difficile à changer)
Posté le 12/08/2024 à 08h28
Ce n'est pas la mécanique de certification derrière qui est contestée, mais le fait que sa clé de déverrouillage (l'empreinte digitale) est aisément reproductible.
(et, accessoirement, très difficile à changer)
Tu peux mettre tous les certificats que tu veux, si la passphrase c'est 1234, la sécu est foirée.
#1.21
Un certificat sans mdp / code pin est déjà pas mal sécurisé: il faut un accès à sa clé privée, qui ne sort jamais du device. Une empreinte ajoute une sécurité supplémentaire, en ayant le device le certificat n'est accessible qu'en poutrant le code pin, ou en bypassant le scan de l'empreinte (ce qui, en fonction des lecteurs, n'est pas forcément possible même en ayant accès à l'empreinte).
À nouveau, dire que le secret est l'empreinte qu'on laisse partout est factuellement faux, le secret est la clée privée du certificat qui n'est accessible sur le téléphone qu'en ayant scanné son doigt.
Edit : ta banque sécurise ton compte avec un code pin de 4 à 8 chiffres, pourtant c'est sécurisé, la raison est que des mesures de verrouillage + contrôle d'IP sont mises en place. "1234" en mdp c'est nul, "1234" en passphrase d'un certificat c'est relativement sécurisé.
Historique des modifications :
Posté le 13/08/2024 à 13h05
C'est un facteur supplémentaire : il faut accès à la base proton, l'accès au certificat et l'empreinte (ou son code pin).
Un certificat sans mdp / code pin est déjà pas mal sécurisé: il faut un accès à sa clé privée, qui ne sort jamais du device. Une empreinte ajoute une sécurité supplémentaire, en ayant le device le certificat n'est accessible qu'en poutrant le code pin, ou en bypassant le scan de l'empreinte (ce qui, en fonction des lecteurs, n'est pas forcément possible même en ayant accès à l'empreinte).
À nouveau, dire que le secret est l'empreinte qu'on laisse partout est factuellement faux, le secret est la clée privée du certificat qui n'est accessible sur le téléphone qu'en ayant scanné son doigt.
#2
C'est le prix à payer pour que ces features ne soient pas payées par les datas des utilisateurs ... et ceux que ça défrisent peuvent bien aller offrir leurs data à Google !