Gestionnaire de mots de passe et chiffrement Zero-Knowledge

Le mot de passe maître passe par une fonction de dérivation pour produire la clé de chiffrement². Pour le stockage des mots de passe côté serveur, l'OWASP recommande des algorithmes lents tels qu'Argon2id, bcrypt ou PBKDF2, et juge les algorithmes rapides comme SHA-256 inadaptés, car ils laissent l'attaquant tester un très grand nombre de combinaisons à la seconde³. Un algorithme lent et gourmand en mémoire rend la force brute plus difficile, plus coûteuse et plus longue³.

Le réglage se fait par un facteur de travail, c'est-à-dire le nombre d'itérations de l'algorithme pour chaque mot de passe³. L'OWASP donne plusieurs configurations minimales équivalentes pour Argon2id, dont l'une est 19 MiB de mémoire, 2 itérations et 1 degré de parallélisme et, pour PBKDF2 avec une exigence FIPS-140, un facteur de 600 000 ou plus avec HMAC-SHA-256³. Ces chiffres décrivent le stockage des mots de passe côté serveur. Les sources du dossier ne disent pas quels paramètres retient chaque gestionnaire pour son coffre.

Côté usage, le gestionnaire remplit aussi les formulaires. Il ne doit proposer les identifiants que pour le site où ils ont été enregistrés, jamais l'ensemble du coffre à un site visité¹. Le NCSC ajoute qu'un gestionnaire peut mieux repérer les faux sites qu'un humain¹.

Choisissez comme mot de passe maître une phrase secrète longue. La CISA propose une suite de 4 à 7 mots sans rapport entre eux⁵. Le NCSC conseille trois mots au hasard, par exemple « applenemobiro », et déconseille les dates de naissance, les équipes sportives, les noms de proches ou d'animaux, que les réseaux sociaux révèlent souvent⁶. Remplacer un « o » par un zéro n'apporte guère de force, car les cybercriminels connaissent l'astuce⁶. La CNIL cite en exemple un mot de passe d'au moins 12 caractères de 4 types, et note qu'il peut être plus court si le compte a des sécurités complémentaires⁴.

Ne réutilisez jamais ce mot de passe maître. La CNIL demande un mot de passe propre et unique pour chaque compte sensible, afin d'éviter les piratages en cascade⁴.

Activez l'authentification multifacteur sur le gestionnaire. Avec elle, l'attaquant doit connaître le mot de passe maître et posséder le second facteur¹. Le NCSC demande de l'utiliser sur tous les gestionnaires avec synchronisation dans le cloud, et pour les comptes à privilèges comme les comptes d'administrateur¹. L'OWASP cite une analyse de Microsoft selon laquelle l'authentification multifacteur aurait stoppé 99,9 % des compromissions de comptes⁷.

Décidez si vous voulez un moyen de récupération, en pesant ses risques contre le coût d'un coffre perdu, et sachez qui pourrait le déclencher¹. Si votre entreprise a une politique, suivez-la. Le NCSC recommande aux responsables de définir une règle claire sur l'export du coffre en clair, car une fois exportés, les mots de passe ne sont plus protégés¹.

Laissez le gestionnaire générer les mots de passe de vos autres comptes : il facilite l'usage de mots de passe uniques, longs et aléatoires¹. Le NIST note que le collage dans les champs de saisie facilite l'usage des gestionnaires⁸. Cette version du NIST SP 800-63 est remplacée par la SP 800-63-4 depuis le 1er août 2025⁸.

• Un mot de passe maître faible. L'attaquant peut tenter de le deviner par force brute¹⁰. Le MITRE renvoie, pour la politique de mot de passe maître, aux recommandations du NIST¹⁰.
• L'hameçonnage. Le MITRE préconise de former les utilisateurs à reconnaître les tentatives d'hameçonnage qui volent des cookies de session ou des identifiants¹⁰.
• Le coffre ouvert en mémoire. Une fois la base déverrouillée, les identifiants peuvent être copiés en mémoire, et des attaquants en extraient le mot de passe maître ou les identifiants en clair¹⁰. Le MITRE conseille de reverrouiller le gestionnaire après un court délai¹⁰.
• Les logiciels non à jour. Le MITRE recommande de mettre à jour régulièrement navigateurs, gestionnaires et logiciels associés¹⁰, et le NCSC de vérifier que l'éditeur corrige vite ses failles¹.
• Les extensions et le navigateur. Le gestionnaire s'appuie souvent sur une extension de navigateur pour remplir les formulaires¹. Le MITRE cite parmi les cibles de certains codes malveillants les données des extensions de navigateur et des gestionnaires¹⁰. Sur un ordinateur partagé, Cybermalveillance.gouv.fr déconseille d'enregistrer ses mots de passe dans le navigateur⁹.
• Les bases de coffres volées. Le MITRE cite des acteurs et des logiciels malveillants qui ont visé ces bases : Threat Group-3390 a obtenu une base KeePass sur une machine compromise, et Indrik Spider a exporté des mots de passe depuis des gestionnaires¹⁰.
• La perte du secret sans récupération. Si la clé est perdue et qu'aucune récupération n'existe, le coffre reste illisible¹.
• Les notes en clair. Post-it, fichiers texte, messagerie ou téléphone ne sont pas conçus pour stocker des mots de passe⁴.