Locknest, un monstre de sécurité dans un écrin de simplicité

Locknest est un gestionnaire physique d’identité numérique.
Sous la forme d’une clé qui tient dans la paume de la main, il est dédié à la protection des données confidentielles des utilisateurs, facile à utiliser, universel (fonctionne avec tous types d’appareils) et autonome (aucune dépendance au cloud).

Simple

Une clé connectée en USB ou en Bluetooth à tous vos équipements, qu’il s’agisse d’un PC, d’un smartphone ou encore d’une tablette.

Une clé qui est la seule à détenir toutes vos informations sensibles : mots de passe, données bancaires, carnet d’adresses...

Avec la possibilité de générer automatiquement des mots de passe forts, et sans besoin de les retenir, vous pourrez facilement en utiliser un différent pour chaque compte en ligne.

Sécurisé

En retirant les données sensibles de votre ordinateur et de votre mobile, vous limitez votre surface d’attaque à cette seule clé, extrêmement robuste grâce à un stockage chiffré et connectée uniquement quand vous en avez besoin.

Vous empêchez ainsi l’utilisation malveillante de vos données, même en cas de vol d’un de vos appareils.

Vos données seront désormais accessibles uniquement par une authentification multifacteur : la clé ainsi que son secret maître sont nécessaires.

Rendu 3D du boîtier Locknest V1 — **Boîtier « V1 ».** C’est la première version, basée sur un boîtier générique, que nous avons proposé en précommande lors du crowdfunding.

Rendu 3D du boîtier Locknest V2 — **Boîtier sur mesure.** C’est le boîtier cible, celui que nous voulons produire à terme.

Et si on me le vole ?

Votre Locknest ne se laissera pas faire ! Tout d’abord, vos données sont chiffrées. Ensuite, après trois tentatives d’accès infructueuses, votre Locknest se verrouillera pour une durée déterminée et ce, jusqu’à ce que le bon secret maître ait été utilisé.
Durant ces 10 minutes de bannissement, toute tentative d’ouverture de session sera tout simplement ignorée. Cela permet d’augmenter drastiquement le temps nécessaire à trouver votre secret maître en attaquant par force brute : en moyenne, cela prendrait plus de 13 ans.
Rendez-vous sur notre page de crowdfunding pour en apprendre plus à ce sujet !

Et si je le perds ?

Perdre ses clés, ça arrive. C’est pour cela qu’on fait des doubles. C’est la même chose pour votre Locknest : en achetant deux clés, vous pourrez très simplement sauvegarder les données de votre Locknest principal sur votre Locknest secondaire. Ce deuxième Locknest, ainsi synchronisé, vous assure de ne jamais perdre vos données.
Dans un second temps, un abonnement de sauvegarde en ligne sera proposé : vous pourrez envoyer toutes vos données chiffrées sur un serveur distant et privé, pour pouvoir les récupérer à tout moment et mettre à jour votre nouveau Locknest par exemple. En savoir plus

Combien ça coûte ?

Le prix public d’un Locknest est de 120€ TTC. Lorsque le produit sera en vente, en septembre 2023, nous proposerons des packs pour l’achat de plusieurs Locknest.

Authentification : testez vos connaissances en cybersécurité

Pour patienter, on vous a concocté un petit quiz : découvrez la vérité sur certaines idées reçues en matière d’authentification ou rafraichissez-vous la mémoire avec ces quelques questions inspirées notamment par les publications de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

1 Un mot de passe plus long est-il forcément plus robuste ?

Oui Non

Non : La taille compte… oui, mais pas seulement ! La robustesse d’un mot de passe n’est pas seulement équivalente à sa taille : « un mot de passe sera d’autant plus robuste qu’il aura été généré de manière aléatoire », explique l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Aussi, rajouter des caractères, si la chaîne devient plus prédictible, peut se révéler contre-productif. Par exemple :

abcdefghijklmnopqrstuvwxyz : le mot de passe est long, mais très peu complexe
fernandoCorbato26 : le mot de passe fait 17 caractères, mais utiliser son nom ou son année de naissance, ou toute autre information personnelle facile à trouver, est évidemment à proscrire

Lorsque l’on parle de la « force » d’un mot de passe, il s’agit de l’estimation de son entropie, de son imprédictibilité. Mais cette estimation ne vaut que si chaque caractère est choisi de manière « uniformément aléatoire », rappelle l’ANSSI. Dans le cas contraire, à savoir lorsque l’utilisateur choisit lui-même son mot de passe pour pouvoir le retenir (mot du dictionnaire, date, citation…), il devient très difficile d’estimer sa force puisque l’aléa n’est plus garanti.

Néanmoins, la longueur est une composante importante de la sécurité d’une authentification par mots de passe et il est d’ailleurs souvent plus efficace d’allonger un mot de passe que de chercher à le rendre plus complexe.

2 Si vous avez besoin d’un code PIN et d’un mot de passe pour vous identifier, peut-on parler d’une authentification multifacteur ?

Oui Non

Non : L’ANSSI rappelle dans son guide 2021 relatif à l’authentification que « chacun des facteurs d’authentification mis en œuvre doit appartenir à une catégorie de facteur différente ». Il en existe trois principales :

les facteurs de connaissance : « ce que je sais » (code PIN, mot de passe…)
les facteurs de possession : « ce que je possède » (carte à puce, token, téléphone, etc.)
et les facteurs inhérents : « ce que je suis » (empreinte digitale ou rétinienne, voix, structure du visage…)

Dans cet exemple, les deux facteurs appartiennent à la même catégorie (facteurs de connaissance), il s’agit donc d’une double authentification, mais non d’une authentification multifacteur.

3 Vrai ou faux : Un formulaire web qui empêche le copier-coller dans le champ « mot de passe » applique les bonnes pratiques en matière de cybersécurité

Vrai Faux

Faux : Le centre national pour la cybersécurité (NCSC), équivalent de l’ANSSI au Royaume-Uni, est catégorique : si l’idée peut sembler légitime de prime abord, c’est en réalité une très mauvaise pratique que d’empêcher les utilisateurs de coller leur mot de passe dans le champ prévu à cet effet.

Tout d’abord, il faut comprendre que pour lancer une attaque par force brute (tester le maximum de mots de passe pour un identifiant donné en un temps minimum) un hacker malveillant* ne se servira pas du formulaire tel qu’affiché sur votre page web ; il ira directement passer ses instructions au serveur sans utiliser l’interface graphique du site.

Mais le plus important, selon le NCSC, est qu’en supprimant cette possibilité, un site web empêcherait l’utilisation d’un coffre-fort de mots de passe. Or, utiliser un coffre-fort de mots de passe est, à l’heure actuelle, la recommandation phare du NCSC mais aussi de l’ANSSI en matière d’authentification.

*On distingue un hacker dit malveillant (ou « black hat ») d’un hacker éthique (« white hat »), protégé par la loi française, qui cherche des vulnérabilités concernant la sécurité d’un système de traitement automatisé de données pour le transmettre à la seule autorité nationale de sécurité des systèmes d’information.

4 Vrai ou faux : Lorsque vous créez un compte sur une application, une vérification est automatiquement faite pour valider que ni votre identifiant ni votre mot de passe n’existent déjà.

Vrai Faux

Faux : Seul votre identifiant doit être unique, pas votre mot de passe. Il est important de bien comprendre le fonctionnement de l’authentification : il s’agit de prouver au système que vous êtes bien la personne que vous prétendez être. Exactement comme lors un contrôle d’identité : là où vous montrez votre CNI à un agent de police, vous devez apporter une preuve de votre identité au système d’information, comme un mot de passe.

L’identifiant est public, tout comme votre nom, mais il est unique au sein du système pour ne pas vous confondre avec quelqu’un d’autre. En revanche le mot de passe, lui, est privé, puisque vous seul devez le posséder.

5 Un « dictionnaire » fait-il partie de la panoplie du parfait petit hacker ?

Oui Non

Oui, même si vous aurez probablement du mal à trouver un Petit Robert dans la bibliothèque de Mr Robot, l’attaque « par dictionnaire » existe bel et bien.

Il s’agit de tester automatiquement de nombreux mots issus du dictionnaire d’une langue donnée afin de compromettre un mot de passe. Certains dictionnaires intègrent même des variations courantes (transformer les a en @ par exemple), des combinaisons de mots connus ou encore une liste des mots de passe les plus répandus (« azerty », « 123456 »…).

Avant même d’utiliser la brute force, qui peut être un processus long, un hacker malveillant n’aura besoin que de quelques secondes pour tester les 10 000 mots de passe les plus utilisés dans votre pays : d’abord tels quels (par exemple « azerty »), puis avec des substitutions de caractères et de casse (« 4z3rty », « AzErTy »…), en y ajoutant des caractères spéciaux ou des chiffres à la fin « Azerty! ») et enfin en ajoutant une date (« azerty01011980 »).

6 L'« ingénierie sociale » est-elle une menace pour vos mots de passe ?

Oui Non

Oui : Une attaque dite « par ingénierie sociale » consiste à récupérer des informations sensibles par des moyens détournés comme l’hameçonnage ou bien l’usurpation d’identité.

En général, concernant les mots de passe, il s’agit de convaincre une personne d’envoyer son mot de passe par courriel ou de cliquer sur un lien frauduleux falsifiant une vraie page d’authentification. Si les informations sont renseignées, à la validation du formulaire, le hacker malveillant pourra les récupérer et la victime sera généralement redirigée vers le site officiel, connectée au service ou sur une page d’erreur, rendant l’attaque quasiment invisible.

7 Vrai ou faux : Même sur un site web bien codé et sécurisé, les administrateurs de la base de données peuvent directement accéder à votre mot de passe.

Vrai Faux

Faux : La première règle de sécurité concernant un mot de passe ou un code PIN est qu’il ne doit être connu que de son propriétaire. Cela veut dire que le vérifieur (ici, le site web) ne doit avoir qu’une version non réversible de ce facteur de connaissance.

Ainsi, si le site web est bien fait, votre mot de passe ne sera jamais stocké en clair. Seule une version, calculée au moyen d’une fonction de hachage cryptographique, sera conservée. Ces fonctions de hachage permettent d’encoder une chaîne de caractères pour la stocker de manière sécurisée, le même encodage sera appliqué lorsque vous reviendrez sur le site web afin de comparer les résultats et de vous permettre de vous connecter si vous avez saisi le bon mot de passe. Mais en aucun cas les mots de passe ne doivent pouvoir être exploiter directement par des attaquants, même si la base de données venait à être compromise.

8 Une authentification reposant sur la réception d’un code à usage unique par SMS est-elle une méthode à privilégier ?

Oui Non

Non : Selon l’ANSSI, utiliser un canal peu ou pas sécurisé, comme le SMS, est à proscrire. Cette méthode expose notamment aux attaques de type SIM swapping (« transfert de SIM ») qui permet à un attaquant de prendre le contrôle du numéro de téléphone de la victime, par exemple en récupérant une carte SIM auprès de l’opérateur en se faisant passer pour la victime.

L’ANSSI rappelle cependant que la réception de code temporaire ou les alertes de connexion à partir d’une nouvelle adresse IP restent des outils permettant de détecter voire de limiter les tentatives d’authentification frauduleuses.

9 Vrai ou faux : L’authentification par code PIN de quatre chiffres de votre carte bancaire est moins sécurisée que celle par mot de passe de 12 caractères alphanumériques du site des impôts.

Vrai Faux

Faux : Les numéros d’identification personnels, ou codes PIN, sont le plus souvent vérifiés localement au sein d’un composant physique de sécurité. Mais ce qui rend vraiment robuste votre carte bancaire ou votre carte SIM, ce sont les fortes mesures complémentaires mises en place, notamment la désactivation d’accès au bout de trois échecs d’authentification.

Autrement dit, c’est parce que l’automate ne vous rendra pas votre carte bancaire si vous vous trompez trois fois de code PIN que celui-ci peut se permettre d’être si petit !

10 Vrai ou faux : Utiliser la biométrie comme unique facteur d’authentification est une protection suffisante.

Vrai Faux

Faux : Si la biométrie présente des avantages incontestables, notamment sa simplicité d’emploi, elle s’accompagne également de nombreux désavantages et limitations.

Tout d’abord, la révocation du moyen d’authentification est problématique car ces éléments sont fixes : pour un facteur de connaissance, l’utilisateur peut plus facilement générer de nouveaux éléments secrets.

Par ailleurs, la confidentialité de nombreuses caractéristiques inhérentes n’est pas possible : il devient alors possible de leurrer les mécanismes de reconnaissance à l’aide d’une photographie par exemple.

Enfin, la conservation de données biométriques pose des problèmes vis-à-vis du respect de la vie privée. Ainsi, l’ANSSI recommande de ne pas utiliser un facteur biométrique comme unique facteur d’authentification.

11 Vrai ou faux : Changer de mot de passe tous les deux mois est une bonne pratique

Vrai Faux

Faux… pour un humain ! Changer de mot de passe n’est évidemment pas un problème en soi, mais ce sont nos habitudes qui peuvent nous jouer des tours et rendre le procédé inutile voire dommageable : « un renouvellement de mots de passe trop fréquent pourrait inciter les utilisateurs à noter les mots de passe sur une feuille qui ne sera pas nécessairement conservée en lieu sûr », prévient l’ANSSI. Le centre national pour la cybersécurité (NCSC), équivalent de l’ANSSI au Royaume-Uni, fait d’ailleurs le même constat.

De plus, « les utilisateurs ont tendance à créer des itérations sur leurs mots de passe (par exemple rajouter « +1 » sur un nombre contenu dans le mot de passe) » ce qui rend quasiment inutile ledit changement.

Il reste cependant évident qu’en cas de compromission d’un service ou de sa base de données, il est nécessaire de changer votre mot de passe.

12 Le « single sign-on » (ou « point d’authentification unique ») est-il une méthode d’authentification forte ?

Oui Non

Non : L’authentification unique, ou SSO pour « single sign-on », permet d’accéder à plusieurs services informatiques en ne procédant qu’à une seule authentification, par exemple en utilisant votre compte Facebook ou Google au lieu de créer un compte sur une nouvelle application.

Premier problème : en cas de découverte du mot de passe du compte utilisé comme point d’authentification unique, toutes les applications qui utilisent cette solution seront, à leur tour, exposées.

De plus, ces services permettent généralement de partager des informations entre eux, il faut donc être très attentifs aux conditions d’utilisation.

Le SSO peut donc faciliter l’authentification mais n’est pas sans risque et n’est pas considéré comme une méthode d’authentification forte, comme peuvent l’être les authentifications par certificats stockés dans les cartes à puce ou encore les protocoles d’OTP (One-Time Password).

Créez rapidement un mot de passe robuste et facile à retenir

De la théorie à la pratique : testez notre outil de génération de mots de passe

En tant que coffre-fort de mots de passe, Locknest protègera vos mots de passe derrière un algorithme de chiffrement puissant et en centralisant vos mots de passe sur une base uniquement accessible via votre clé physique.
Mais Locknest vous permettra également de générer automatiquement des mots de passe robustes : comme nous l’avons vu dans le quiz, nous pourrons respecter l’aléa pour obtenir la plus grande entropie possible puisque vous n’aurez pas besoin de les retenir.

Mais en attendant la sortie de Locknest, on ne vous laisse pas tomber ! Pour créer des mots de passe à la fois robustes et que vous pourrez retenir facilement, nous vous conseillons de vous appuyer sur les conseils des différents organismes spécialisés en cybersécurité, comme le centre national pour la cybersécurité du Royaume-Uni (NCSC) ou l’Agence nationale de la sécurité des systèmes d’information en France (ANSSI).

Voici les trois principales méthodes recommandées aujourd’hui, notre préférence allant à la dernière, pour laquelle nous vous avons mis à disposition un outil de test !

Une phrase de passe

Au lieu d’essayer de retenir une série de caractères qui n’ont aucun sens, vous pouvez choisir d’utiliser une phrase que vous pourrez facilement retenir.

Comme toujours, évitez d’utiliser des informations personnelles ou des phrases très connues.

Enfin, utilisez des caractères spéciaux, des majuscules et des chiffres, si possible.

Trois mots au hasard

Autre option : choisir trois mots au hasard, qui n’ont aucun lien logique entre eux. Il faut donc évidemment bannir les corrélations évidentes ou faciles à relier à votre profil. Si vous n’êtes pas inspiré, optez pour des générateurs de mots aléatoires ou « le mot du jour » du dictionnaire Le Robert, plutôt que de choisir votre groupe de musique préféré ou le nom de votre chat.

L’idée derrière ce concept est d’éviter tous les modèles connus et surtout les mots de passe faciles à deviner : même s’ils possèdent caractères spéciaux et chiffres - et respectent ainsi les règles imposées par les sites web -, ils font le jeu des hackers malveillants (« Pa55word! »). Avec la méthode des trois mots au hasard, on mise sur la non-prédictibilité et sur la longueur.

Les premières lettres d’une phrase

Comme pour la phrase de passe, il s’agit ici de choisir une phrase dont vous vous rappellerez facilement, avec une douzaine de mots si possible, pour en extraire les premières lettres de chaque mot. En ajoutant ou en substituant des caractères spéciaux, des majuscules et des chiffres, vous obtenez un mot de passe relativement simple à retenir mais robuste.

A titre d’exemple, entrez ici une phrase pour générer un mot de passe avec les premières lettres de chacun des mots (séparés par des espaces) et quelques substitutions (chiffres, caractères spéciaux, majuscules). Notez qu’idéalement vous devez choisir une phrase avec 12 mots ou plus :

Locknest, un monstre de sécurité dans un écrin de simplicité

Simple

Sécurisé

Et si on me le vole ?

Et si je le perds ?

Combien ça coûte ?

Le bilan de la campagne de crowdfunding en chiffres

Locknest, ça sort quand ?

Soyez les premiers informés !

Authentification : testez vos connaissances en cybersécurité

1 Un mot de passe plus long est-il forcément plus robuste ?

2 Si vous avez besoin d’un code PIN et d’un mot de passe pour vous identifier, peut-on parler d’une authentification multifacteur ?

3 Vrai ou faux : Un formulaire web qui empêche le copier-coller dans le champ « mot de passe » applique les bonnes pratiques en matière de cybersécurité

4 Vrai ou faux : Lorsque vous créez un compte sur une application, une vérification est automatiquement faite pour valider que ni votre identifiant ni votre mot de passe n’existent déjà.

5 Un « dictionnaire » fait-il partie de la panoplie du parfait petit hacker ?

6 L'« ingénierie sociale » est-elle une menace pour vos mots de passe ?

7 Vrai ou faux : Même sur un site web bien codé et sécurisé, les administrateurs de la base de données peuvent directement accéder à votre mot de passe.

8 Une authentification reposant sur la réception d’un code à usage unique par SMS est-elle une méthode à privilégier ?

9 Vrai ou faux : L’authentification par code PIN de quatre chiffres de votre carte bancaire est moins sécurisée que celle par mot de passe de 12 caractères alphanumériques du site des impôts.

10 Vrai ou faux : Utiliser la biométrie comme unique facteur d’authentification est une protection suffisante.

11 Vrai ou faux : Changer de mot de passe tous les deux mois est une bonne pratique

12 Le « single sign-on » (ou « point d’authentification unique ») est-il une méthode d’authentification forte ?

Créez rapidement un mot de passe robuste et facile à retenir

De la théorie à la pratique : testez notre outil de génération de mots de passe

Une phrase de passe

Trois mots au hasard

Les premières lettres d’une phrase

Mentions légales

Informations éditeur

Hébergement

Conditions d'utilisation

Données personnelles collectées

Exercice du droit de modification et suppression

Droits d'auteur