D'ailleurs je suis preneur de critique sur ce logiciel
Indépendamment de ce logiciel, je ne suis pas fan de l’approche basée sur un master password dont les mots de passes finaux sont directement dérivés.
Le problème fondamental avec cette approche, c’est que si par malheur le mot de passe principal vient à être compromis, c’est jackpot pour l’attaquant, il peut dériver l’ensemble de tes mots de passe. Contrairement à un gestionnaire de mots de passe classique (qui stockerait les mots de passe dans une base chiffrée), il n’a même pas besoin d’exfiltrer la base de mots de passe, la simple connaissance du mot de passe maître est suffisante. Du coup, cette approche est potentiellement plus risquée qu’une approche « classique ».
Je note toutefois que contrairement à d’autres logiciels que j’ai pu voir basés sur la même approche, LessPass semble dériver les mots de passe finaux d’une manière cryptographiquement solide (PBKDF2 — encore que j’aurais préféré Argon2 qui est expressément conçu pour ce genre de choses, contrairement à PBKDF2 qui est plus un bidouillage), ce qui au moins devrait empêcher un attaquant de remonter au mot de passe maître juste en connaissant un mot de passe dérivé (sous réserve que l’implémentation est correcte).
[^] # Re: Pourquoi avoir une base de donnée ?
Posté par gouttegd . En réponse au journal Coffre numérique.. Évalué à 3.
Indépendamment de ce logiciel, je ne suis pas fan de l’approche basée sur un master password dont les mots de passes finaux sont directement dérivés.
Le problème fondamental avec cette approche, c’est que si par malheur le mot de passe principal vient à être compromis, c’est jackpot pour l’attaquant, il peut dériver l’ensemble de tes mots de passe. Contrairement à un gestionnaire de mots de passe classique (qui stockerait les mots de passe dans une base chiffrée), il n’a même pas besoin d’exfiltrer la base de mots de passe, la simple connaissance du mot de passe maître est suffisante. Du coup, cette approche est potentiellement plus risquée qu’une approche « classique ».
Je note toutefois que contrairement à d’autres logiciels que j’ai pu voir basés sur la même approche, LessPass semble dériver les mots de passe finaux d’une manière cryptographiquement solide (PBKDF2 — encore que j’aurais préféré Argon2 qui est expressément conçu pour ce genre de choses, contrairement à PBKDF2 qui est plus un bidouillage), ce qui au moins devrait empêcher un attaquant de remonter au mot de passe maître juste en connaissant un mot de passe dérivé (sous réserve que l’implémentation est correcte).