En fait la question c'est pas tant "je vais me faire baiser ou pas" mais "le jour ou je vais me faire baiser, quelle en seront les conséquences"

Il y a le scénario avec négligence de l'utilisateur (pour reprendre l'exemple du topic, un mdp maitre faible qui va se faire défoncer par hashcast en 10 min après le vol de la DB).
La faille logiciel du gestionnaire de mdp (et "gngngn c'est opensource c'est sûr" n'est pas une réponse valide : ça arrive, et ça arrivera encore, avec des updates maladroites ou hostile, avec usurpation du système d'autoupdate, avec des découvertes de failles dans les algo crypto etc).
Y'a se faire pwn un truc (un crédential) et se faire pwn tout en même temps : les conséquences sont pas les même, et si je me fais pwn mon compte pettichats.com j'osef
Le risk / reward pour les attaquants : le gestionnaire de mdp est une cible eventuellement plus complexe mais aussi bcp plus attrayantes, sauf à croire naivement que des systèmes sont vraiment sûr a 100% attirer l'attention de plus d'attaquant c'est augmenter sa vulnérabilité. Et la concentration des efforts c'est aussi des attaques plus élaborées donc moins prévisibles (confère les nombreux hack crypto qui ont, pour certains, été des innovations majeures en cybersec)
Tu peux oublié le master password (ça semble cocasse mais y'a un tas de petits accidents cérébraux ou simplement un petit choc qui peut faire sauter une info d'un cerveau).
'fin y'a la balle de littérature sur les gestionnaires de mdp qui expliqueront bien mieux que moi en quoi c'est bien / pas bien (car de ce que j'ai vu y'a une grosse guerre des pro / anti )

Cet été j'ai assisté a une conf d'un expert en risque cyber auprès des assurances qui gère les gros comptes (donc safran, tales etc) et qui nous a présenté les pires attaques (les plus catastrophiques en conséquences) qu'ils doivent gérer / indemniser et comment ça se termine en fonction des bonnes / mauvaises pratiques.
Je suis pas un expert du tout mais ça m'a donné envie d'encore plus m'y intéresser.
Et en gros j'ai jamais eu confiance dans les gestionnaires de mdp et il a fortement confirmé mon scepticismes (visiblement l'état français interdit leurs utilisations a certains endroits ; ofc j'ai pas de source il a rien voulu me dire sur les noms ou les environnements en question) car c'est considéré comme trop vulnérable.

Citation de Svarunn
C'est ce que je fais perso j'ai un carnet spécial avec nom du site, adresse Identifiant & mdp
Je ne jure que par encre sur papier
Sinon pour les trucs pas trop important j'ai un mdp que je met partout, toujours le même, il est juste dans ma tête

le même mdp partout c'est typiquement un truc a éviter.

Trouve un texte que tu aimes bien ou écris en un. Apprends le par coeur. Utilise le pour faire pleins de mdp avec (des suites de mots, tu peux changer un peu : inventer des mots, faire des substitutions). Retenir un petit texte c'est facile.

C'est aussi un des gros risques (j'imagine que tu penses très fort au leak ledger qui avait entrainé le pwn de bcp d'utilisateur par du fishing ciblé très très ingénieux)

T'oublies tout l'aspect social engineering / défaillance de l'utilisateur. Or c'est genre 95% des menaces. Je trouve que ton raisonnement est trop centré sur la technique. T'as pas tort sur les points que tu considères, mais je trouve que tu ne vois pas assez large.


Sauf que ce raisonnement est faux. Et je pense "très" faux dans les faits.

Je prend un exemple con, un bête keylogger éco+ n'aura pas les mdp de ta banque qui ont toutes (je crois) un mdp a rentrer à la souris et plus au clavier



Certes. Mais si tu perds le master pawword tu perds tout, et toute possibilité de récupération.

Si j'ai un accident de vélo et que j'ai des petit pb de mémoire j'aurais probablement pas tous mes mdp et toutes les solutions de récupération qui me seront inaccessibles.


Je suis globalement d'accord sur ce point. C'est d'ailleurs souvent le point sur lequel débattent les collèges d'experts. La question c'est pas "quelle est la solution la plus safe techniquement" mais "quelles solutions permet le meilleurs compromis pour les singes".

C'est la même chose avec la contraception. L'efficacité théorique vs l'efficacité pratique n'a rien à voir, et des trucs "bof efficace" sont très safe car l'utilisateurs a pas de moyen de merder, et des très safe a 99.9% se retrouvent a 80% d'efficacité à causes des scénarios réels d'usages.

Moi ce qui me bloque totalement avec les gestionnaires de mdp c'est que comme toute solution logiciel elle est pas infaillible, ma machine n'est pas invulnérable aux attaques non plus, et ça donne "les clés du royaumes" sur tout ce qu'il y a de plus critique à la moindre défaillance grave, même très brève.

Or si rien n'est stocké même en cas de faille critique (et très vite patchée) si je ne me rend pas vulnérable dans cette fenêtre (tout mdp qui ne sera pas utilisé) est safe. Avec un gestionnaire de mdp je peux TOUT perdre en une fois (et surtout on peut parfaitement m'enlever toute solution de récupération pour faire du damage control)

je sais pas si tu vois ce que je veux dire.

D'autant que ça fait de ce truc la cible numéro 1 de tout attaquant car t'as ça t'as tout.

Ca a moins de chance de passer entre les goûtes des petites attaques "de la vie de tous les jours" qui ratent pleins de trucs dans les autres scénario

C'est de moins en moins le cas avec le 2FA ou la possibilité de rentrer plusieurs emails pour un même compte, mais tu as raison.

Les gens se rendent pas compte à quel point leur email est un endroit a protéger.

A ou a eu. Et tu sais bien que quand une faille exploitée est découverte y'a généralement de quoi tej l'exploit en même temps que le patch.


Bah oui et non. 'fin je trouve que t'as une vision super caricaturales. Tu sais bien que c'est jamais tout blanc ou tout noir, et que ce qu'il est possible -ou pas- de faire est ultra dur à généraliser.

Genre les failles des processeurs intel de 2018 (je crois ?) la série de deux qui a entraîné un patch vénère aurait facilement permis a un attaquant de voler un pw de password manager mais pas forcément d'autres mdp car elle demandait de savoir exactement ce que tu voulais chercher dans le flow d'instruction.

Une cible facilement identifiée et identifiable est parfois le seul truc que tu peux voler avec certains exploits. pour ça que les mdp des navigateurs etc se fond pwnd alors que "password.txt" sur le bureau est safe

Ca fait partie (selon moi, encore je fois je suis pas du tout un expert juste un singe curieux) des pb des pawwords managers.


A ton avis comment je me suis mis a boucler sur ce genre de problématique alors que je suis pas du tout dans l'info

L'entrepreneur dream frère

D'ailleurs quand j'étais dans des (((grosses entreprises))) on avait très fréquemment des attaques des services secrets (français ou étranger) pour récup de la data ou des accès chez nous a base de vol de matériel (typiquement lors des déplacements) ou d'infection de matos.
Ca pouvait aller super loin genre j'ai entendu parler de dispositif qui enregistraient le son des touches du clavier, puis vol du laptop et recomposition du mdp avec l'enregistrement audio, jusqu'a des putes qui ciblait les tech dans les aéroports.

J'ai jamais été une cible (ou j'ai été trop con pour m'en rendre compte) donc ça reste des histoires de machine à café mais y'a des trucs de fou on se rend pas compte

Un bidule comme ça qui te génère un one-time password.

Bah en général la faille est révélée quand un attaquant se faire prendre, et on déploie en même temps un patch pour la faille et de quoi tecj l'attaquant des systèmes (désinfecter les machins donc).


Bah j'pense que c'est pas des attaques "nsa like" justement. J'ai surement un biais dans mon jugement car ma principale source c'est les site spécialisés cybersecu et les rapports d'exploit / d'attaques etc mais y'a pas mal de truc parfois ultra élaborés qui sortent régulièrement. Enfin souvent l'exploit est très élaborés et un singe l'achète pour faire une attaque un peu claquée

Le nombre d'attaque qui ont l'air assez vénère et tu lis comment c'est exploités "l'attaquant vole votre compte steam"

Citation de Zardoz
Un bidule comme ça qui te génère un one-time password.

Ca c'est ultra sécure et robustes pour le coup. Mais ça manque de praticité pour monsieur tout le monde. Et j'imagine que ça demande un certains nombres d'adaptations pour l'intégrer a tous les usages sans que ce soit trop chiant.

Citation de Zardoz
Les choses sérieuses se font depuis mon bureau, pas dans la rue. Donc il faut un accès physique à ma machine pour lire les clés. Si je dois m'éloigner durablement, les disques sont dans un coffre à la banque.
En parlant de banque, celle-ci me fournit une calculette crypto pour accéder à mes comptes.
A mon sens, WebAuthn devrait supplanter les mdp sur le web.

ta machine n'est pas co a internet ?

T'as quoi a protéger pour te faire chier a mettre les disque à la banque ?

webauthn j'ai plutôt tendance a être d'accord mais je pense que c'est aussi car c'est très largement inutilisé qu'on trouve ça très safe, car on a pas encore exploré à quel point c'est vulnérable dans les scénarios d'utilisation grand public

Citation de NegrillerNoir
Mais vous avez des mémoires de poissons pour pas vous souvenir de vos mdp ? À moins que ça soit des mdp style code wifi normalement on retient facilement

Oui, oui, je vais retenir 150 suite de 40 caractères aléatoires de tête.

Citation de MeguNyan
la pluspart des gens sont des singix, il rentre des mots de passe bidon perde leurs mots de passe et bloque leurs compte issou, le qi négatif

Perso j’ai 16 mdp différents mais ils ont tous une signification particulière pour moi

Comme ça je m’en souviens