Boîte à  outils System iNews : gestion des listes de mots de passe

Nous utilisons de puissants mots de passe pour notre inventaire de serveurs et nos unités de réseau. Et nous n’appliquons pas les mêmes mots de passe sur toutes les unités. De plus, nous les changeons régulièrement. Malheureusement, ils sont maintenant trop nombreux pour que nous puissions nous les rappeler. Nous stockons les mots de passe dans un fichier texte sur l’ordinateur fixe et portable de chaque employé, dans un format quelque peu obscur, mais il me semble que le risque de reconstitution par ingénierie inverse existe. Y a-t-il un meilleur outil pour maintenir en toute sécurité des listes de mots de passe sur des systèmes en réseau ?

On a souvent dit que la sécurité par l’obscurité n’est pas de sécurité du tout. Il vous faut un outil de cryptage très professionnel, étudié pour l’archivage et l’extraction des mots de passe. Vous avez de la chance, un tel outil existe. On le doit à Bruce Schneier, gourou de la sécurité sur Internet, et il s’appelle Password Safe. Cet utilitaire Windows gratuit stocke les mots de passe dans un fichier crypté, lui-même accessible moyennant une phrase de passe. Quoique simple, cet outil est un moyen sûr de stocker des mots de passe sur un ordinateur en réseau, fixe ou portable.

Password Safe, un programme open-source, emploie l’algorithme de cryptage Twofish très puissant (lui aussi oeuvre de Schneier), qui a été soumis à une vérification formelle très poussée. Twofish est actuellement utilisé dans d’autres logiciels open-source comme Secure Shell (SSH) et Linux. Soyez donc certains qu’il a été approuvé par quelques milliers d’examinateurs techniques.

Password Safe est facile d’emploi. Vous pouvez le stocker sur le disque dur ou sur une clé USB. Aussitôt lancé, le programme vous demande une phrase de passe pour déverrouiller votre base de données de mots de passe. Password Safe présente ensuite une interface graphique simple et directe qui vous permet de rechercher, trier et organiser vos noms de systèmes, ID utilisateur et mots de passe, à votre guise. Quand vous êtes prêts à entrer un mot de passe sur un écran de login, vous cliquez simplement sur une entrée dans Password Safe pour copier le mot de passe sur le pressepapiers, puis le coller dans n’importe quelle boîte de dialogue de mots de passe.

L’utilitaire présente quelques fonctions de sécurité intéressantes. Comme vous extrayez normalement les mots de passe de la base de données Password Safe par le mode copier/coller, le mot de passe n’est jamais exposé aux regards indiscrets ou aux loggers curieux. Et comme les mots de passe sont cryptés, ils échapperont aux nouveaux systèmes d’indexation sur l’ensemble des disques, comme Google Desktop. Si vous doutez que ce soit un problème, essayez donc de rechercher « password » avec l’un des ces utilitaires.

Password Safe gère aussi les dates d’expiration, comme celles que demande i5/OS, en vous avertissant si un mot de passe est sur le point d’expirer. Un générateur de mots de passe aléatoire intégré utilise les règles que vous fournissez pour créer des mots de passe sécurisés à l’instant même. Par exemple, vous pourriez limiter les mots de passe aux majuscules seules et à huit caractères de longueur, comme l’exige i5/OS.

Password Safe peut conserver un nombre donné de copies historiques de la base de données, vous permettant de trouver les mots de passe précédents qui pourraient encore subsister par inadvertance sur certaines unités. Cette fonction d’héritage des mots de passe est particulièrement importante là où il y a plusieurs unités du même type et où l’on pourrait oublier de mettre à jour les mots de passe sur chaque membre d’un ensemble. Vous pouvez télécharger la dernière version de Password Safe.