les mots de passe

[Ulysse]

Bonjour à tous 😉

J'aimerais avoir vos conseils et savoir comme vous organisez vos mots de passe.

Jusqu'à maintenant je n'avais qu'une seule adresse email et un seul même mot de passe. Actuellement, je suis en train de tout revoir pour plus de sécurité.

J'ai créé 2 adresses email : une officielle (qui est en même temps mon identifiant Apple @iCloud), et une seconde "passe-partout" (achat, forum, appli @yahoo.com). Et comme je consulte mes emails dans l'application Mail macOS ou iOS, cela ne me gêne pas d'avoir 2 messageries plutôt qu'un système d'alias via iCloud (qui me parait assez compliqué et limité à 3 ; peut-on modifier ou supprimer un alias ?).

Pour les mots de passe, que pensez-vous des mots de passe suggérés par Safari grisés en jaune ? Ils semblent bien difficile à retenir, du coup j'hésite à franchir le pas. Si jamais je n'arrive plus à accéder au trousseau, que faire ? Par ailleurs, le trousseau est-il lié à l'identifiant Apple ? Conseillez-vous d'activer le trousseau dans iCloud ? La synchronisation des mots de passe entre l'iPhone et le mac est-elle optimum ? Et si je dois changer un jour d'identifiant, que se passe-t-il alors ? 

J'ai également observé parfois que je peux m'inscrire directement sur un site ou une application en choisissant "se connecter avec Apple", qu'est-ce exactement ? un système d'alias caché ? 

Cela fait beaucoup de questions ! Désolé si j'écris au mauvais endroit. 

Un grand merci ! 👍

 

[Mout]

Bonjour Ulysse,

Sans répondre à toutes tes questions une à une, je vais tâcher de te partager ma manière de faire qui n'est certainement pas la plus optimum, mais qui me satisfait.

Les mots de passe, je les ai confiés à un coffre fort indépendant, multiplateforme, gratuit, libre (je crois), auto-hebergeable, illimité dans la quantité de données... C'est Bitwarden. Ma fabrication de mot de passe est un algorithme que j'ai imaginé, qui me permet de reconstruire le mot de passe plutôt que de le mémoriser. A de très rares occasions, je le laisse m'en proposer un et je le lui confie : il n'y a alors que Bitwarden qui s'en souviendra. C'est d'ailleurs un peu l'une des fonctionnalités phare de ce type de logiciel. Mais en général, JE construis mon mot de passe, et JE l'enregistre dans Bitwarden. (les extensions de navigateur sur ordinateur détectent la création d'un mot de passe et me propose de l'enregistrer directement en le liant à l'adresse du site : très pratique !)

Parfois pourtant, j'utilise le trousseau iCloud. Je te conseille de le synchroniser. Quand tu te connectes avec ton compte sur un nouvel appareil, pouf ! tous tes mots de passe redescendent. Son défaut est qu'il est encore réservé aux appareils Apple, impossible de l'avoir sous Windows. Si tu dois changer d'identifiant, il est possible qu'il y ait des outils d'export-import du trousseau. Je ne connais pas bien.

Les identifiants. Je me suis payé un domaine perso, couplé à une adresse Google (l'ancien G Suite) qui me permet de créer des alias à la volée - en fait l'option Alias collector. Pour chaque nouvelle identité sur un nouveau site, je donne une adresse unique @mondomaine.com, ca tombe dans une seule boite qui du coup n'est pas connue et ca se gère ensuite avec des filtres et des labels. Un site, un identifiant, un mot de passe. Ca me permet si un jour je reçois du spam de savoir immédiatement qui a vendu mon adresse ^^

Une solution palliative peut être les alias immédiats de Gmail : pour une adresse toto@gmail.com, tu peux créer des alias à la volée avec le signe + : toto+amazon@gmail.com. Cette astuce peut ne pas fonctionner si le site n'accepte pas de + dans un identifiant. 

La solution alias d'iCloud, je ne la connais pas, mais c'est peu ou prou la même chose.

La pratique de mettre toujours la même adresse email et toujours le même mot de passe, c'est mauvais. Et c'est d'autant plus mauvais quand le compte mail a aussi le même mot de passe. Celui là doit être ABSOLUMENT différent, et ABSOLUMENT complexe à trouver. D'ailleurs, pour une adresse mail qui sert d'identifiant, utiliser l'authentification multifacteur est essentiel.

Enfin, "se connecter avec Apple" : ça ressemble aux cousins "se connecter avec mon compte Google" ou "Facebook". Ca utilise la gestion de l'identité d'une de ces 3 entreprises pour ouvrir une session sur ton site ou ton application. C'est simple, censé être sécurisé, mais c'est encore donner une information de plus à un GAFAM. sans en faire la guerre, j'essaie d'éviter de mettre tous mes œufs dans le même panier

[LolYangccool]

Après Mout, je te propose de lire mon avis sur la question disponible ici même s'il commence à dater, le fond de l'avis exprimé dans cet article est toujours d'actualité : https://geekonweb.fr/les-gestionnaires-de-mots-de-passe-une-solution-seduisante-mais-risquee.html

J'ai aussi essayé Safe-in-Cloud un certain temps, c'est pas mal mais comme tous les autres gestionnaires, je trouve que c'est contraignant à l'usage.
Le coffre fort est auto-hébergeable également.

J'ai des mots de passe complexe que j'arrive à retenir, de plus de 12 caractère assez facilement, et généré aléatoirement par le trousseau d'accès de macOS composé de lettre majuscules et minuscules, ainsi que de chiffres et de caractères spéciaux, mais pas de tirets ou de parenthèses par exemple.

[Luc]

Bonsoir @Ulysse

Je vais partager également ma façon de faire, qui n'a bien entendu pas valeur de "parole divine".

Pour les sites que je considère comme non sensibles (Consomac en fait partie par exemple), j'utilise le gestionnaire de MDP de Firefox, ainsi que les MDP générés par ledit gestionnaire.

Pour les sites que je considère comme sensibles (Banque, SNCF, DB pour citer un trio), j'utilise le trousseau d'accès de Mac OS (majuscules et minuscules, chiffres, caractères spéciaux) et je les écrit dans un fichier Excel protégé par MDP, le fichier étant sur une petite image disque chiffrée (dont le MDP d'accès n'est écrit que dans ma mémoire) sur mon SSD principal. Aucun MDP affecté à un site sensible n'est écrit ailleurs que dans ce fichier (donc aucun ne se trouve dans un gestionnaire de MDP)

Et voici quelques règles que j'applique:

• Pas d'utilisation de "Se connecter avec ..."
• Pas de CB sauvegardée, sauf pour la SNCF et la DB, ce qui me permet de réserver à la volée depuis l'iPhone
• Un site = un MDP (un peu comme @Mout en fait)

Edited March 3, 2022 by Luc

[Ulysse]

bonjour ! merci à tous pour vos réponses 😉.

Idéalement j'aimerais un système assez simple, c'est pour cela que j'avais pensé au Trousseau synchronisé. Je suis un débutant 😅

Si je dois me connecter sur un ordinateur autre que le mien (en voyage par exemple), que se passe-t-il ? Puis-je accéder aux mots de passe avec l'iPhone ? y a-t-il Trousseau sur l'iPhone ? Il faut peut-être au préalable que je me connecte avec l'iPhone sur toutes les pages verrouillées du mac, et avoir ainsi tous les mots de passe du mac enregistrés dans l'iPhone. 

En cas de vol ou de perte de l'iPhone, il y a je crois une fonction pour le restaurer comme à l'origine. 

[Luc]

Oui tu peux accéder aux MDP synchronisés dans le trousseau iCloud, à condition d'avoir activé la synchro ici:

Et ensuite tu les auras ici:

[Ulysse]

merci @Luc 🙂

[Ulysse]

Il y a 19 heures, Luc a dit :

Et voici quelques règles que j'applique:

• Pas d'utilisation de "Se connecter avec ..."

@Luc pourquoi n'utilises-tu pas l'option se connecter avec Apple ? 

Il y en a-t-il parmi vous qui ont essayé iCloud+. il y a entre autres l'option masque son adresse email.

[LolYangccool]

Oui j'utilise iCloud+ mais c'est surtout pour avoir les 200Go de stockage pour stocker mes messages et photos.
Le stockage iCloud ne me sert qu'à ça ou presque.