Quels logiciels pour se protéger sur internet ?

Question aux utilisateurs de Linux, c’est bien le pare-feu que vous configurez pour interdire des visites indésirables et autres chevaux de troie ?

Dans ce cas MacOS (Unix based) utilise la même méthode à ceci près que la configuration du pare-feu/firewall n’est pas modifiable, à mon niveau de connaissance tout au moins. Sur Mac il existe aussi Filevault qui encrypte vos données, j’imagine avec des clefs assez puissantes, si bien que si un tiers indésiré arrive à accéder à votre machine, il ne pourra pas en consulter le contenu sans connaître votre mot de passe. L’inconvénient de filevault est qu’il ralentit parfois vos applications.

Une remarque a été faite à laquelle je souscris entièrement : lorsqu’on visite des sites "normaux" (mettons si l’on me permet une définition, qui n’enfreignent ni la loi ni la moralité publique) et qu’on évite de répondre à des annonces bidon (j’ai besoin de vous pour toucher 10M d’euros) on est assez peu exposé.

Pour ma part j’utilise Keepass.
Il me stocke tous mes Mdp dans une base de données cryptée et sécurisée.
J’y accède avec un mot de passe suffisamment costaud ET un fichier clé 256 Bits généré de manière aléatoire.
Le fichier clé est stocké sur une clé USB (plusieurs exemplaire dont un stocké dans un coffre). Si on la perd on accède plus à sa base
Le mot de passe principal est mémorisé grâce à une phrase de passe.
Cela consiste à mémoriser une phrase simple et plusieurs règles.
Exemple :
Le petit chaperon rouge va au marché.
Règle 1 : je prends la première lettre de chaque mot.
Règle 2 : je commence le mot de passe par une Majuscule.
Règle 3 : je rajoute le nombre de caractère du 3ème mot à la fin et le chiffre 3 au début

Ce qui nous donne : 3Leptcnrevaaumé8

Cela nous donne un mot de passe suffisamment long et sécurisé.
974 quadrillion years pour le cracké selon How Secure Is My Password? déjà cité

    Length: 16 characters
    Character Combinations: 156
    Calculations Per Second: 4 billion
    Possible Combinations: 123 decillion

Associé avec la clé 256 bits, comme seconde clé d’accès …

Ensuite je stocke ma Bdd sur ma dropbox.
Donc comme cela j’y accède de partout.
Il me suffit pour cela de :
- ma clé USB contenant ma clé cryptée (j’y ai ajouté la version portable de Keepass pour accès en mobilité)
- mon mot de passe principal (retenu à l’aide de la phrase de passe)
- ma base de données (stocké sur DropBox, accès sécurisé par le mot de passe principal)

3 éléments qui ne marchent pas l’un sans l’autre. Chacun est vulnérable mais ne sert à rien seul. La combinaison des 3 est très fiable.
Même après un accès sur un PC de n’importe où (cyber café, à l’étranger …) je pars l’esprit tranquille.

Je pense qu’il serait très difficile de pirater ce système.

Keepass quand à lui me permet de gérer mes accès aux différents sites que j’utilise (launcher ), de stocké les mdp et d’en générer de nouveau de manière aléatoire.

Je trouve la très pratique et très sécurisé. Assez simple à utiliser une fois que l’on a compris le système.
La NSA devrait surement avoir les moyens de cracké tout cela. Mais les données qui s’y trouvent n’en valent pas le jeu de toute façon.
J’ai créé ainsi plusieurs Bdd, perso, travail, pour la maison, avec des clés cryptées différentes, mais le même mot de passe principal pour soulager la mémoire. Car même avec la phrase il en faut quand même un peu.
Mon épouse utilise le même système et nous partageons plusieurs bases. Même si je disparais brutalement elle saura ainsi retrouver les infos importantes (et les autres aussi)

Keepass, outil gratuit ne gère pas les accès réseau. On peut contourner le pb en utilisant de manière astucieuse +ieurs Bdd et une dropbox (ou équivalent).
Tout cela est expliqué sur le site officiel de Keepass. Celui-ci regorge d’infos et d’addon.
Par exemple FavIcon pour agrément des entrées de Bdd.

Je n’ai aucun intérêt financier dans cet outil et je le recommande chaudement.

Note : ne surtout pas utiliser de simple fichier Excel pour stocker ses mots de passe ou les outils des navigateurs. Ce sont de vrais amusements pour pirate en herbe.
Mais cela vous le savez surement

Pour naviguer sur le net j’utilise HTTPS everywhere (addon Firefox)
Et évidemment AdBlock : obligatoire pour la tranquillité de navigation sans pub sur le net.
Ca vous le saviez surement aussi

Ps :si certains sont intéressés je peux donner quelques liens qui m’ont servis à élaborer ma stratégie

Dernière modification par Champflo (12/05/2014 23h06)

Quelques conseils pour le surf sur internet, les plus importants selon moi :
- Ne pas croire aux offres trop belles pour être vraies (! arnaque).
- Les mails alarmistes vous demandant de mettre à jour des infos personnelles sont souvent du phishing, ne pas cliquer sur les liens.

- Le mot de passe le plus important est celui de votre boîte mail, il doit être unique. Il vaut mieux avoir un mot de passe simple et identique pour tous les forums mais différent de celui de son adresse mail que d’avoir un mot de passe super complexe mais identique entre les forums et son adresse mail.

- Garder ses logiciels à jour, en particulier son système d’exploitation (attention Windows XP n’est plus supporté, il n’est donc plus sûr même avec un antivirus), son navigateur, Adobe Flash, Adobe Acrobat. Généralement il n’y a rien à faire, ces logiciels se mettent à jour automatiquement par défaut mais il peut être utile de vérifier le statut de Windows Update.

- Eviter au maximum les wifi publics pour des opérations sensibles.

- Ne pas télécharger de crack, de logiciels piratés (ils contiennent souvent des malwares) ou des plug-in/modules activeX pour le navigateur.

- Eviter de laisser enregistré le numéro de sa CB sur les sites marchands (malheureusement certains sites ne jouent pas le jeu).

Dernière modification par NicolasV (14/05/2014 14h54)

Bonjour,

Pour ce qui me concerne, je commencerai par rappeler que la mise à jour automatique du système d’exploitation Windows (ou iOS/Mac) ne devrait pas être optionnelle : des mises à jour de sécurité il y en a plusieurs tous les jours. Activez-les !
Par dessus cette première couche, j’utilise en antivirus la version gratuite de Avast  -et en pare-feu, la version gratuite de Zone Alarm. Chacun a bien sûr une mise à jour automatique quotidienne automatisée.

Pour ce qui est de la sécurité des accès à mes différents comptes sur internet : j’ai un mot de passe "complexe" pour l’e-mail. Certaines fournisseurs m’obligent à un certain type de format de mot de passe (à commencer par ma banque). Dans ce cas, je n’ai pas vraiment le choix…

De façon générale d’ailleurs, je ne crains pas les interceptions "à la volée" mais par contre je me méfie des choses stockées dans les bases de données des entreprises / administrations (Amazon, PayPal, Trésor Public, etc.). Ce sont ces bases qui sont braquées 99,9% du temps.
Je n’enregistre pas mes données compte/carte bancaire chez autrui. Si’ j’y suis obligé pour terminer une transaction, je retourne tout supprimer lorsque j’ai eu ce que je voulais.

Toutefois, j’insiste sur un point : tous ces aspects servent à nous protéger des amateurs -même (très) compétents et bien financés.
Par contre, si vous avez de vrais secrets à protéger, ce n’est pas ces protections qui arrêteront les curieux…
La NSA (et le GCHQ et la DGSE et…) est capable de casser un mot de passe Gmail en moins de 3 minutes > cf. les documents rendus publics par Edward Snowden :   Edward Snowden ? Wikipédia
Si vous avez de vrais secrets à protéger, passez à la cryptographie forte : Pretty Good Privacy en particulier : Pretty Good Privacy ? Wikipédia
et :
PGP, logiciel de cryptographie gratuit et en franˤais
(OpenPGP en franˤais)

…sachant que, quel que soit l’outil de sécurité, la plus grosse vulnérabilité c’est toujours l’utilisateur.

Dernière modification par YP (27/05/2014 10h19)

Miguel a écrit :

Que pensez vous de authy ou authentificator de google ?
j’ai trouvé ceci Google
Je vais m’instuire un peu plus tard ce soir.

C’est la reproduction d’un générateur de code unique, via un téléphone et un logiciel. Les plus paranoïaques diront cependant qu’un téléphone n’est pas un appareil dédié, qu’il peut y avoir interférence avec d’autres logiciels et que, de plus, c’est un objet connecté (un générateur de code usuel ne l’est pas). Néanmoins l’OS (Android) et le logiciel étant tous les deux fournis par Google et open-source, mon avis c’est que c’est aussi sûr qu’un système d’autentification forte standard.

Les plus tatillons pourront toujours installer une version fraîche d’Android sur un ancien téléphone sans SIM, avec uniquement cette application. Cela fonctionnera puisqu’après son installation, l’application n’a plus besoin d’Internet.

A noter que la banque traditionnelle chez qui j’ai de l’authentification forte a poussé le système jusqu’au bout, il est en deux parties. Il y a un lecteur (appareil non connecté muni d’un clavier et d’un afficheur), identique à tous les autres en circulation. Et il y a une carte à puce, spécifique à l’utilisateur, et avec une durée de vie limitée. Les deux doivent être utilisés ensemble pour générer le code. Au cas où ça ne suffirait pas, il y a un code PIN qui protège la carte, et qui doit être entré pour obtenir le code unique final.

Pourrait-on m’expliquer la logique consistant à déconseiller un mot de passe commun à beaucoup de sites, et ensuite à conseiller un regroupement des mots de passe sous un même mot de passe maître ?
Il est clair que la révélation de ce dernier est au moins aussi grave que le comportement déconseillé au départ !