La nouvelle diffusée le 21 janvier 2014 par l’Office fédéral allemand de la sécurité des technologies de l’information (BSI) a fait peur à plusieurs internautes : en analysant les réseaux de zombies, les chercheurs et les autorités ont découvert près de 16 millions de comptes d’utilisateurs compromis. Une telle usurpation d’identité est d’autant plus menaçante que de nombreux utilisateurs utilisent les mêmes données – en l’occurrence le nom d’utilisateur sous forme d’adresse e-mail et un mot de passe – pour plusieurs services à la fois. Pourtant, il est possible de changer cela facilement, par exemple à l’aide de KeePass. Nous vous montrons comment faire.

Qu’il s’agisse de comptes de messagerie et de comptes web, de forums et de sites d’achat ou de programmes eux-mêmes : Tous nécessitent des mots de passe que nous ne pouvons pas mémoriser, plus ils sont nombreux. Avez-vous aussi un bout de papier jauni sous votre ordinateur portable sur lequel sont notés les mots de passe ? Faites-vous enregistrer les mots de passe par le navigateur ? Les deux ne sont pas sûrs, et le navigateur ne peut pas enregistrer tous les mots de passe. Nous nous sommes penchés sur l’outil open source KeePass, qui stocke de manière cryptée n’importe quel mot de passe ou donnée d’accès et propose un générateur de mots de passe et une base de données.

Les différences

KeePass est disponible en deux éditions : « Classic Edition Version 1.x » et « Professional Edition Version 2.x ».

La version 1.x fonctionne sur les systèmes Windows avec GDI+ (déjà inclus à partir de XP) et contient moins de fonctionnalités que la version 2.x : elle ne supporte pas Unicode, l’ouverture d’une base de données via URL n’est pas possible, tout comme la synchronisation. Une corbeille n’est pas disponible, le système de déclenchement manque également et la version n’imprime que sous forme de tableau. Elle est cependant toujours en cours de développement.

La version 2.x fonctionne sur les systèmes Windows avec NET Framework 2.0 ou supérieur (déjà inclus à partir de Vista) et également sur d’autres systèmes d’exploitation comme Linux, Mac OS X, BSD, etc. L’ouverture des bases de données via URL et les synchronisations sont possibles, la version imprime sous forme de tableau et en mode détaillé, un système de déclenchement est également disponible pour automatiser les processus de travail.

Les deux versions, en tant qu’applications portables, ne doivent pas être installées, sont des programmes open-source, sont compatibles avec les plugins et peuvent être adaptées à l’aide de fichiers de langue. L’algorithme de cryptage de la base de données utilisé est Rijndael (également appelé AES) 256 bits, les mots de passe sont enregistrés avec SHA-256.

Remarque: la version Installer nécessite des droits d’installation locaux, ce qui n’est pas le cas de la version Portable.

Vous trouverez une liste détaillée des deux versions dans la comparaison des éditions.

C’est surtout la version 2 qui nous intéresse, car elle contient également plusieurs fonctions intéressantes.

L’installation

Après avoir téléchargé et décompressé la version portable et le fichier de langue française dans un dossier spécialement créé à cet effet sur la clé USB ou le disque dur, intégrez le fichier de langue française. Si vous avez opté pour la version Installer, décompressez le fichier de langue dans le répertoire du programme de KeePass.

Dans le menu « View », sous « Change Language… », vous trouverez le fichier de langue française que vous avez choisi. Redémarrez ensuite KeePass pour appliquer les modifications.

KeePass a une interface utilisateur simple et sans fioritures. Tout semble encore assez vide, mais cela va changer.

Créer une base de données

Pour pouvoir travailler avec KeePass, il faut d’abord créer une sorte de base de données. Via « Fichier » – « Nouveau… », un fichier de base de données (*.kdbx), auquel vous donnez encore un nom, est créé dans le dossier sur la clé USB ou le disque dur. Dans notre exemple, il s’agit de « NeueDatenbank.kdbx » dans le sous-dossier « KeePass Password Safe 2.24 ».

Après « Enregistrer », une nouvelle fenêtre« Créer une clé principale composite » apparaît.

Dans le champ à côté de« Mot de passe principal« , saisissez un mot de passe pour votre nouvelle base de données. C’est le seul mot de passe dont vous devrez ensuite vraiment vous souvenir.

Un clic sur le bouton avec les trois points affiche à nouveau votre mot de passe en texte clair. Vous pouvez reconnaître la qualité du mot de passe aux barres de couleur situées en dessous – le rouge est insuffisant, le vert est bon.

Fichierclé/fournisseur est responsable de la protection supplémentaire – vous pouvez créer ici un fichier clé (*.key). Ce fichier est généré automatiquement et enregistré à l’endroit de votre choix. Si vous le sauvegardez par exemple sur une clé USB, les données ne sont accessibles que si la clé USB est connectée à l’ordinateur. La clé doit alors être ouverte avec le mot de passe principal.

Lecompte d’utilisateur Windows ne fonctionne alors qu’avec la connexion d’utilisateur Windows et le mot de passe principal. Cette option est liée à un PC.

C’est à vous de décider laquelle des trois options vous utilisez individuellement ou en combinaison. C’est aussi une question de sécurité souhaitée.

Nous optons uniquement pour le « mot de passe principal ».

Après « OK », les paramètres de la base de données s’ouvrent et vous devriez les consulter – il n’est toutefois pas nécessaire de les modifier, car ils sont optimaux.

Votre nouvelle base de données est ainsi créée. Vous obtenez deux exemples d’entrées que vous pouvez supprimer en toute confiance.

Sous « Fichier » – « Quitter », il vous est demandé si les modifications doivent être enregistrées. Après « Enregistrer », KeePass se ferme avec les nouveaux paramètres créés. KeePass ne peut maintenant être ouvert qu’avec votre mot de passe principal. Vous pouvez créer d’autres bases de données, mais vous devez alors choisir un nom significatif et non pas « Nouvelle base de données ».kdbx comme nous le faisons.

Les options de KeePass

Sous « Outils – Options », 5 onglets sont disponibles.

L’onglet« Sécurité » est spécialement conçu pour le cas où vous ne travaillez pas seul sur votre PC. Par exemple, si vous êtes distrait, KeePass verrouille l’espace de travail après xx secondes.

Sous l’onglet « Stratégie », vous pouvez bloquer ou autoriser des fonctionnalités. Si vous êtes le seul à travailler avec la base de données, vous autorisez (presque) toutes les options. Au sujet de l’impression

L’onglet« Interface » comporte 4 rubriques : [Fenêtre principale] – [Liste des entrées] – [Recherche rapide (barre d’outils)] – [Avancé].

Les entrées sont explicites. Nous avons par exemple décidé d’activer la première option sous « Fenêtre principale ». Rapidement, la fenêtre est fermée avec le bouton de fermeture (réduire, maximiser, fermer) et vous devriez vous connecter à nouveau avec votre mot de passe principal. Si l’option« Le bouton de fermeture [X] minimise la fenêtre principale au lieu de quitter l’application » est activée, cela ne peut pas vous arriver. Vous ne pouvez alors fermer l’application qu’en cliquant sur « Fichier – Quitter ».

Sous l’onglet« Intégration« , vous pouvez définir des combinaisons de touches pour Auto-Type ou faire démarrer KeePass avec Windows. Vous pouvez associer des fichiers KDBX à KeePass en cliquant sur le bouton « Créer une association » (si vous avez plusieurs fichiers KDBX). Il est alors possible d’ouvrir les fichiers *.kdbx avec KeePass en double-cliquant dessus.

Le bouton Réécritures de schémas URL

Le bouton« Réécritures de schémas URL » affiche des commandes en ligne de commande. Par exemple, si vous souhaitez ouvrir les liens web de KeePass par défaut avec Firefox plutôt qu’avec Internet Explorer, vous pouvez cocher ici les cases correspondantes sous « http » et « https ». Vous pouvez également modifier cela plus tard pour chaque entrée individuellement.

L’option par défaut est ici« ssh » – cmd://PuTTY.exe -ssh {USERNAME}@{URL:RMVSCM}. Il s’agit de l’établissement automatique d’une connexion SSH (Secure Shell) avec Putty (client Telnet/SSH). Dans cette liste, les standards ne peuvent pas être modifiés par « Editer ». Seul le bouton « Ajouter » permet de définir ses propres commandes personnalisées.

La connexion SSH standard est structurée comme suit :

[Commande_CMD][Chemin_de_fichier][Type_de_connexion][Nom_d’utilisateur]@[Protocole ou URL][Mot de passe]

La commande ressemble alors à ceci :
cmd:// »{APPDIR}putty.exe » -ssh {USERNAME}@{URL:RMVSCM} -pw {PASSWORD}

Explication :

• ssh – Préfixe qui se trouve sous Schéma dans la fenêtre principale de KeePass (connexion SSH).
• cmd:// – La commande est exécutée en arrière-plan dans la ligne de commande Windows.
• « {APPDIR}putty.exe » – Chemin d’accès complet au fichier putty.exe à exécuter (toujours entre guillemets, car le chemin peut contenir des espaces). La variable {APPDIR} remplace ici le chemin.
• -ssh {USERNAME}@{URL:RMVSCM} – Chaîne pour établir une connexion SSH avec transmission du nom d’utilisateur @ chemin SSH complet : entrée non visible dans le schéma – {URL:SCM} = entrée visible dans le schéma
• -pw {PASSWORD} – transmission du mot de passe sous forme cryptée

On peut aussi exécuter avec cela ses propres programmes définis par l’utilisateur, à condition que ces programmes acceptent aussi les arguments de la ligne de commande. Il est possible d’exécuter d’autres commandes plus tard pour les entrées via Auto-Type. Plus d’informations sur AutoUrls.

L’onglet « Avancé

L’onglet comporte 5 rubriques, mais elles sont également explicites. Nous avons activé l’entrée « Enregistrer automatiquement lorsque la base de données est fermée/verrouillée ». Ainsi, après « Fichier – Quitter », toutes les modifications sont automatiquement enregistrées sans nouvelle demande.

Créer des entrées de connexion

Dans la fenêtre principale de KeePass, dans le menu « Édition », sélectionnez « Ajouter une entrée » et passez à l’onglet « Entrée ».

Sous« Titre« , indiquez le nom, par exemple d’un site web, et sous« Nom d’utilisateur« , le nom de connexion du site. Effacez les mots de passe prédéfinis et saisissez votre mot de passe de connexion pour le site web. Vous pouvez ici ignorer la qualité du mot de passe. Pour que KeePass passe directement à la page de connexion du fournisseur, appelez la page web de connexion dans le navigateur et copiez l’adresse dans KeePass sous« URL« . Sous« Commentaires« , vous pouvez encore laisser une remarque ou créer une date d’expiration (« Valable jusqu’au »), sous l’onglet « Avancé », ajouter des pièces jointes (par ex. e-mail, conditions générales, PDF, etc.). Cliquez ensuite sur « OK ». Répétez le processus avec toutes vos données Internet.

Classer les rubriques

Après « OK », les nouvelles entrées sont visibles dans la fenêtre principale de KeePass sous « NouvelleBase de données ». Pour enregistrer dans la base de données, cliquez sur « Fichier – Quitter », il vous sera ensuite demandé si vous souhaitez enregistrer les modifications. Les nouvelles entrées ne sont enregistrées dans la base de données qu’après confirmation. Remarque: Si, comme nous, vous avez activé dans les options « Avancé » l’entrée« Enregistrer automatiquement lorsque la base de données est fermée/verrouillée« , les modifications sont automatiquement enregistrées après « Fichier – Quitter ».

Vous disposez maintenant de plusieurs groupes dans KeePass – Internet, eMail, Homebanking, etc. – et pouvez déplacer la nouvelle entrée de la rubrique « Nouvelle base de données » vers une autre rubrique par glisser-déposer.

Vous pouvez ajouter des groupes, supprimer des groupes ou les modifier en cliquant sur le groupe à droite.

Si vous créez un nouveau groupe, celui-ci sera subordonné. Il suffit de tirer le groupe nouvellement créé avec la souris et de le déplacer dans la rubrique « Nouvelle base de données », de sorte que le nouveau groupe ne se trouve plus dans le sous-dossier. Vous pouvez maintenant cliquer sur le nouveau groupe à droite et cliquer sur « Réorganiser ». Vous avez alors le choix entre « Groupe au début », « Groupe une ligne plus haut », « Groupe une ligne plus bas », etc.

Comment fonctionne Auto-Type

Un petit test : fermez toutes les applications sauf KeePass. Ouvrez un éditeur de texte (Notepad, Wordpad), cliquez sur une entrée de la fenêtre principale de KeePass à droite, puis choisissez« Exécuter Auto-Type » dans le menu contextuel. Avez-vous fait attention ?

KeePass a écrit le nom d’utilisateur {USERNAME} et le mot de passe {PASSWORD} dans le fichier texte. KeePass a séparé les données par une tabulation {TAB} et a terminé le transfert en appuyant sur la touche [Entrée] {ENTER}. L’Auto-Type fonctionne de la même manière pour les champs de connexion de votre navigateur – {USERNAME}{TAB}{PASSWORD}{ENTER}

Se connecter correctement avec Auto-Type

L’outil peut appeler la page de connexion d’un service web directement à partir de l’entrée de la base de données. La fonction Auto-Type peut insérer automatiquement le nom d’utilisateur et le mot de passe dans une fenêtre de connexion et reconnaît, à l’aide de la fenêtre de connexion ouverte, quelles données d’accès doivent être reprises de la base de données. Auto-Type reconnaît également le bouton de connexion ou d’ouverture de session.

Pour une meilleure vue, cliquez dans le menu « Affichage » sur l’entrée « Afficher la vue des entrées », de sorte qu’une coche apparaisse, et à nouveau dans le menu « Affichage » sur l’entrée « Disposition de la fenêtre ». Sélectionnez « Superposer » ou « Côte à côte », comme vous le souhaitez.

Si vous avez choisi « Superposer », vous verrez dans la partie inférieure de la fenêtre de KeePass des informations sur le groupe, le titre, le nom d’utilisateur, le mot de passe, l’URL, la date de création et la date de modification. Dans la fenêtre principale de KeePass, sélectionnez l’entrée avec laquelle vous souhaitez vous connecter. Cliquez sur cette entrée à droite et sous « URL », cliquez sur « Ouvrir » ou « ouvrir avec » de votre navigateur, la page de connexion s’ouvre. Si vous avez configuré l’affichage des entrées « l’une au-dessus de l’autre » ou « l’une à côté de l’autre » pour une meilleure vue, vous pouvez également accéder à la page de connexion à partir de là. Si vous faites à nouveau un clic droit sur l’entrée et que vous choisissez cette fois-ci« Exécuter le type automatique« , vous pouvez voir KeePass insérer le nom d’utilisateur et le mot de passe dans les champs de saisie et vous connecter.

Mais si la fenêtre de connexion sur la page Web comporte entre-temps quelques coches ou champs similaires qu’il faut d’abord « sauter » pour arriver sur le bouton de connexion, on peut choisir une autre séquence pour cette entrée de mot de passe. Comme nous le savons déjà, la séquence par défaut est {USERNAME}{TAB}{PASSWORD}{ENTER}, qui ne doit pas être modifiée, car l’entrée se répercute sur toutes les autres entrées.

Sous l’onglet Auto-Type de l’entrée de mot de passe de problème, cliquez sur « Ajouter » et activez« Utiliser une séquence de touches personnalisée« . Complétez les TABs.

Exemples: {USERNAME}{TAB}{PASSWORD}{TAB}{TAB}{ENTER} ou

{NOM D’UTILISATEUR}{TAB}{PASSWORD}{TAB}{ENTER}

Il suffit de cliquer dans le champ après {PASSWORD} et d’y écrire {TAB} sans espace ni touche d’espacement, puis de cliquer sur le bouton « OK ».

Chaque {TAB} correspond à un champ de saisie sur la page web qui doit être ignoré. Cela peut donc aussi être après {USERNAME}.

Voile de type auto à deux canaux

Sous l’onglet Auto-Type, il y a encore une option intéressante :« Voile à deux canaux Auto-Type » pour encore plus de protection.

Le but de cette option est de confondre les keyloggers éventuellement installés. KeePass ne copie alors pas le mot de passe en texte clair dans le cache pour l’insérer ensuite dans le champ de mot de passe, mais simule une frappe de touche [Ctrl]+[c] pour envoyer ensuite un [Ctrl]+[v] dans le champ de mot de passe. En outre, il enregistre divers sauts d’un côté à l’autre à l’aide des touches fléchées, afin de créer une confusion supplémentaire. L’éventuel keylogger ne peut enregistrer que ces commandes [Ctrl] et ne peut donc pas voir le mot de passe en texte clair. Il faut activer cette option séparément pour chaque entrée de mot de passe. Le message d’avertissement qui apparaît à chaque fois que l’on clique sur l’option peut être confirmé sans crainte. L’option ne fonctionne que pour les champs de connexion simples, tels qu’ils sont utilisés par exemple dans les navigateurs.

Commandes de type automatique

Sous l’onglet Auto-Type de l’entrée du mot de passe, bouton « Ajouter », vous pouvez voir et modifier la séquence exacte du clavier. Il existe des champs standard comme {Title}, {UserName}, {Password}, {URL} et {Notes}.

Si vous cliquez sur {Title}, le « titre » est d’abord consulté au lieu de l’URL et on vérifie par exemple si le titre dans le navigateur web correspond à votre {Title} saisi – par exemple {google}. Cette fonction est utile si vous avez deux adresses électroniques sur le même portail de messagerie. En supposant que KeePass fonctionne en arrière-plan, si vous avez plusieurs comptes Google, une fenêtre de sélection s’affiche sur la page de connexion lorsque vous exécutez [Ctrl]+[Alt]+[a]. La combinaison de touches est enregistrée dans les options de la base de données, onglet « Intégration ». Bien entendu, les deux comptes Google doivent être créés dans KeePass.

En outre, il y a ici des touches spéciales comme {TAB} et {ENTER} ou des caractères génériques comme {GROUP}, {URL:SCM} ou {DELAY 1000} (attend une seconde), qui nous sont en partie familiers. Le bouton « Réécritures de schémas URL » contient également ces paramètres.

Démarrer des programmes avec demande de mot de passe

Il est également possible de lancer un programme au lieu d’une URL, si les paramètres corrects sont assemblés ici. Comme mentionné plus haut, la commande :

cmd://PuTTY.exe -ssh {USERNAME}@{URL:RMVSCM}

Vous pouvez également établir une connexion de bureau à distance :

cmd://mstsc.exe /v:192.168.1.211 /w:1280 /h:1024

Auto-Type-Window : 192.168.1.211 – Bureau à distance*

La fonction Auto-Type permet également d’automatiser l’accès à un lecteur crypté.

Sélectionnez le lecteur qui nécessite un mot de passe. Passez à KeePass et créez une entrée, ouvrez l’onglet Auto-Type et cliquez sur « Ajouter ».

Dans la « fenêtre cible », sélectionnez votre lecteur et activez« Sélectionner une séquence de touches personnalisée« . Supprimez {USERNAME} et {TAB} si SEUL le mot de passe est demandé. Si l’on vous demande le nom d’utilisateur ET le mot de passe pour le lecteur crypté, supprimez UNIQUEMENT {TAB}.

La fonction Auto-Type est très complète, tout comme le bouton « Réécritures de schéma URL ». Pour plus d’informations, voir la fonction Auto-Type (fenêtre Auto-Type).

Générateur de mots de passe

Dans la fenêtre principale de KeePass, dans le menu Outils, vous trouverez le générateur de mots de passe (Générer un mot de passe, Générer une liste de mots de passe), qui vous aidera à créer un nouveau mot de passe.

Sous « Paramètres », vous pouvez choisir sous Profil que les mots de passe nouvellement générés soient valables pour les nouvelles entrées. Ici, vous pouvez définir la longueur et la complexité du nouveau mot de passe ou le laisser tel quel. Un mot de passe fort doit être le plus long possible (au moins 20 caractères) et se composer d’un jeu de caractères (majuscules, minuscules, chiffres). Vous pouvez augmenter le caractère aléatoire de la chaîne de caractères du mot de passe en créant d’autres données aléatoires. Pour ce faire, activez l’option « Collecter de l’entropie supplémentaire ».

Après « OK », le mot de passe est déjà dans la fenêtre principale de KeePass pour la prochaine nouvelle entrée.

C’est pratique lorsque vous devez vous inscrire pour la première fois sur une plateforme. Vous n’avez alors plus besoin que d’un nom d’utilisateur – vous avez déjà le mot de passe.

Des entrées de mot de passe individuelles peuvent également être générées, par exemple lorsque le mot de passe a expiré.

Le système de déclenchement

Ce système facilite les processus de travail, par exemple, il peut toujours lancer la synchronisation ou l’exportation lors de l’enregistrement de la base de données.

Exemple : Chaque fois que KeePass se termine et que la base de données est enregistrée, un fichier d’exportation actuel de la base de données doit être créé.

Le système de déclenchement se trouve dans la fenêtre principale de KeePass, dans le menu Outils. La case « Système de déclenchement activé » doit être cochée. Cliquez sur « Ajouter », le premier onglet « Propriétés » de quatre apparaît. Sous « Nom », indiquez l’événement, les deux options « Activé » et « Activé au début » devraient déjà contenir les coches.

Passez à l’onglet « Événements » et cliquez sur « Ajouter ». Sous « Événement », sélectionnez« Fichier de base de données enregistré« .

Champ Fichier/URL – Comparaison = Est égal à (régler)

Champ Fichier/URL – Filtre = laisser simplement vide

[OK]

Vous pouvez ignorer l’onglet « Conditions » et passer à l’onglet « Actions ».

Là, cliquez sur « Ajouter » et sélectionnez sous « Action » –« Exporter la base de données active« .

Dans le champ Fichier/URL, vous devez indiquer le chemin sous lequel le fichier d’exportation doit être déposé. Créez auparavant un dossier, par ex. exportation sous C : – dans ce dossier, copiez le fichier « NeueDatenbank.kdbx ».

Dans le champ Format de fichier, tapez KeePass KDBX (2.x).

[OK] – [Terminer] – [OK].

Pour savoir ce que signifie chaque événement, consultez la rubrique « Déclencheurs ».

Consulter la base de données de KeePass via Internet

Bien que le stockage des mots de passe soit appelé « base de données », ce n’est pas le cas. Les bases de données disposent d’un serveur avec des accès en écriture, des autorisations et des droits de lecture/modification des enregistrements. Nous ne voyons pas cela d’un très bon œil.

Si vous avez votre propre page d’accueil ou un serveur, vous pouvez télécharger la base de données kdbx et y accéder à partir de là. Ouvrez ensuite KeePass, sélectionnez Fichier – Ouvrir – « Ouvrir URL ». Dans le premier champ « URL », inscrivez l’adresse complète de votre page d’accueil ou de votre serveur FTP, y compris le chemin du répertoire et le nom du fichier KDBX.

Saisissez l’utilisateur et son mot de passe, puis confirmez en cliquant sur « OK ». Pour finir, saisissez votre mot de passe principal dans la fenêtre « Saisir la clé principale ». La base de données d’accès de KeePass s’ouvre.

Alternative

Des synchronisations supplémentaires sont possibles avec des plugins comme KeeCloud ou KeePassSync (sous « Backup & Synchronization & IO ») pour Amazon S3, Dropbox, DigitalBucket.

Si vous disposez de Dropbox, vous pouvez tout simplement placer la base de données dans le dossier Dropbox avec un mot de passe suffisant et la lancer ensuite avec des programmes appropriés, par exemple sur Android ou iOs, à partir du dossier Dropbox. Vous devez connaître le mot de passe principal.

L’addon FireFTP pour navigateur transfère votre fichier KDBX dans un répertoire de votre serveur FTP.

Sur le thème *Imprimer

Dans les options de KeePass, sous l’onglet « Stratégie », vous trouverez 2 options pour l’imprimante :

« Autoriser l’impression des listes d’entrées » et« Ne pas exiger la saisie de la clé principale actuelle avant une impression« .

Dans la fenêtre principale de KeePass, via « Fichier – Imprimer », vous pouvez demander l’impression de TOUTES les entrées contenant des mots de passe, sans mot de passe principal. Tout est déjà affiché dans l’aperçu et sous l’onglet « Mise en page », vous pouvez encore choisir si l’impression doit se faire sous forme de tableau ou en mode détaillé. Par défaut, le « mot de passe » est activé, l' »URL » ne contient pas de coche – bien que nous soyons d’avis que, si tant est qu’il y en ait une, l' »URL » devrait être cochée et non le « mot de passe ». Même si vous êtes seul à travailler sur la base de données, vous ne devriez tout de même pas vous permettre de faire n’importe quoi par mesure de sécurité.

Source de l’image : KeePass