Trolloscope Who is the best ? - Page 109

Nil (./3238) :
Ça ne vous dérange pas que le mot de passe principal en soit demandé qu'une fois par session ?!

Quel mot de passe ?

Nil (./3238) :
Et qu'éditer/modifier les mots de passes soit une plaie ?

Pour l'utilisation perso, je ne stocke pas les mots de passe dans Firefox : pour les sites "courants" à faible risque de sécurité, je garde simplement les cookies ; pour le reste (qui sert moins souvent), les mots de passe sont stockés ailleurs.

Pour l'utilisation pro, il n'y a ni cookies ni mot de passe sur le PC : les identifiants sont sur papier, et je ne les tape que quand j'en ai besoin.

Après, c'est une solution qui me convient, c'est clair que ce n'est pas adapté à tout le monde.

Nil (./3238) :
Ça ne vous dérange pas que le mot de passe principal en soit demandé qu'une fois par session ?! Et qu'éditer/modifier les mots de passes soit une plaie ? Et vous avez si peu de marque-pages pour ne pas avoir besoin de les dédoublonner ? (surtout qu'avec Sync qui bugge parfois, ça crée des doublons en pagaille :/)

Je suis organisé, moi (et je n'utilise pas Sync ou truc équivalent, vu que je n'utilise quasiment jamais d'appareil mobile)

Nil (./3240) :
Master Password+ FTW !

Mmmm, c'est quand même un truc que j'aurais du mal à confier à une extension.

Ben en même temps, vu le mode de fonctionnement des autorisations sous Fx, à partir du moment où tu as saisi ton mot de passe une fois, vu que tout est décrypté, n'importe quelle extension peut y puiser à n'importe quel moment...
Et je pense même que n'importe quelle application Windows doit pouvoir le faire (à vérifier, par contre, je ne sais pas comment joue la protection mémoire sous Windows ^^)

Nil (./3243) :
n'importe quelle extension peut y puiser à n'importe quel moment...

Ah ?! C'est vraiment moisi alors...

Nil > Une appli sans droits d'admin ne peut pas lire la mémoire d'une appli qui a les droits admin. Peut-être pas non plus celle d'une appli sans droits d'admin, d'ailleurs.

Firefox n'a pas les droits d'admin, c'est aussi la question que je me pose. Je pense que depuis Win32 les processus sont un minimum protégés les uns des autres, mais je n'ai pas assez de connaissances à ce sujet.

La sécurité sur ces points a été sensiblement renforcée depuis Vista. Avant, la branche NT avait une sécurité moindre, et la branche 9x n'en avait quasiment pas.

Windows 10 a également beaucoup apporté en termes de sécurité.

Nil: Keepass

sans keefox.

Personnellement, j'ai découpé suivant les usages, avec mon vieil ordi portable qui ne sert que pour les choses administratives (impôts…) et pour lire les mails autres que perso (administration ou commandes VPC) avec un keepass.
Pour les choses moins sensibles (forums ou VPC), trousseau iCloud qui reste quand même de loin le plus pratique au quotidien (sachant que les dégâts seraient limités en cas de vol de mot de passe, d'autant que l'adresse e-mail est à chaque fois différente).

Keepass pareil (BDD stockée sur iCloud). Ca fait l'affaire, c'est pas le plus pratique mais lorsqu'il s'agit de sécurité ça ne me dérange pas trop. Et pour les services de peu d'importance (certains forums, etc.) j'ai quelques mdp "pourris" qui sont en fait d'anciens mots de passe forts (que j'utilisais pour l'e-banking etc.) que j'ai recyclés donc pas besoin d'ouvrir le keepass ^^ (et le MDP Windows etc. je l'ai dans la tête)

Je suis passé à KeePass récemment, c'est vraiment pratique, en revanche il y a une fonction que je trouve super dangereuse : en un raccourci de clavier (Ctrl + qqchose, je ne sais plus lequel) l'outil simule un Alt-Tab puis vient taper "login <tab> mot de passe <enter>" (ça m'est déjà arrivé une ou deux fois de soumettre des mots de passe par erreur à cause de ça...)

accessoirement, maintenant j'utilise une Yubikey pour SSH et me connecter à l'ordi, à défaut d'avoir un ordi à lecteur d'empreinte.

Le souci de KeePass est qu'il faut passer par un copier-coller (sauf à utiliser un plug-in sous Fx), et j'ai des doutes sur la sécurité du presse-papier (que ce soit sous Linux ou sous Windows). En plus, c'est assez pénible qu'il y ait deux versions différentes non totalement compatibles (KeePass et KeePassX). Du coup, je l'utilise pour tout ce qui est accès non Web.

En plus, ce n'est pas forcément pratique à synchroniser efficacement (alors qu'utiliser Sync, qui est chiffré de bout en bout et chiffré dans le cloud est quand-même super pratique - même si j'entends aussi les risques inhérents à ça, j'aimerais idéalement avoir un serveur Sync chez moi, mais ce n'est plus possible depuis la v2 ).

KWallet (de KDE) rulez.

(j'aime les messages argumentés comme ça ^^)

KWallet réutilise automatiquement le mot de passe de login pour déverrouiller (sans que j'aie à le retaper, ça s'intègre à la pile d'authentification PAM) et est intégré à toutes les applications que j'utilise (y compris mon navigateur QupZilla).

comme tous les trousseaux sur chaque OS, non ?

Sauf Windows

C'est normal, c'est le propriétaire qui garde les trousseaux ^^

Zeph: pas désactivable cette hotkey?

Nil: Ca se synchronise en mettant la db sur owncloud. keepass2 sait synchroniser en cas de conflit et tu peux lui dire de synchroniser automatiquement au lieu de bêtement sauvegarder.

il me semble que keepassx sait maintenant lire les kdbx. je passerais bien a keepassx mais il n'a pas de plugins, alors que keepass stocke aussi mes clés SSH et les met a dispo via KeeAgent (qui marche aussi sous linux).

Mouais, c'est pas le plus pratique, OwnCloud, pour moi (j'ai déjà du webdavs qui tourne, j'ai pas envie de faire tourner un gros service qui ne me servira pas à autre chose, vu que mon Syno me permet déjà d'accéder à mes données à distance). Mais à voir.

squalyl : je crois pas non, rien trouvé dans les options :/

Ben moi je ne vois pas cette option tout court ,et je ne l'ai donc sûrement jamais activée par erreur mais effectivement ça n'a rien à faire dans une config par défaut une telle fonctionnalité !

Hmm c'est pas une option mais un choix du menu qui à mon avis ne peut pas être désactivé. Juste pour être sûr qu'on parle de la même chose, c'est le choix "Perform Auto-Type" visible ici :

Ah oui, et le mapping du raccourci est assez pourri

C'est un logiciel libre, il suffit de recompiler avec le code qui implémente cette feature supprimé ou mis en commentaire.

Et porter mon patch en recompilant ma version perso chaque fois qu'il y a une mise à jour, ça tombe bien j'ai que ça à foutre

Ah non, il est bien évident que tu dois soumettre ton patch à l'auteur et le faire accepter !

Zeph (./3268) :
Et porter mon patch en recompilant ma version perso chaque fois qu'il y a une mise à jour, ça tombe bien j'ai que ça à foutre

Félicitations, tu viens de découvrir ce que fait un packageur d'une distribution GNU/Linux à longueur de journée.