KeepassX vs Firefox Sync

sibfactory · Le 06/12/2017, à 11:07

Bonjour à tous,
J'utilise Firefox Sync. je voulais me mettre à KeepassX mais je me demande si c'est bien nécessaire ?!
Peut-on faire confiance à Firefox Sync ?
Que me conseillez-vous ?
Merci

shoot76 · Le 06/12/2017, à 11:14

Bonjour,

Tout dépend de la sécurité que tu désires. Firefox Sync c'est du cloud, comme Lastpass par exemple. C'est chiffré avec ton mot de passe, et seul toi y a accès. Maintenant, si on récupère ton mot de passe et que Firefox se fait hacker, c'est open-bar. T'es bon pour changer tous tes mots de passe avant que les hackers n'aient le temps de les utiliser.

KeePass te permet de stocker tes mots de passe chez toi. Donc niveau sécurité, t'es quand même bien mieux. KeePass possède des extensions sur la plupart des navigateurs (il te faudra installer le plugin keepass-http avant), qui sont en général bien foutues. Elles te permettent de récupérer tes mots de passe en faisant de l'auto-complétion et aussi de t'en générer des aléatoires histoire de n'avoir jamais le même nul part. C'est quand même cool.

Maintenant se pose un problème de taille : Comment synchroniser tes mots de passes entre tes périphériques. Par exemple, dans mon cas, sur mon téléphone, tablette et PC? Et bien t'as que deux solutions : utiliser un cloud (dropbox, googledrive, cloud perso...) ou un NAS que tu stockes chez toi gentiment en local. Perso j'ai choisi la dernière solution. Le NAS n'est pas exposé sur internet, et la synchro se fait sur tous mes périphériques... alors ma base de données est pas toujours à jour, mais j'ajoute rarement des entrées à KeePass donc ça me dérange pas. Je préfère ça plutôt que de stocker mes mots de passe sur le pc de quelqu'un d'autre...

Si tu n'as pas de NAS, la plupart des box internet ont un port USB. Une simple clé branchée dessus fera l'affaire

Après c'est vraiment une question "personnelle". Si le cloud te fait pas peur, fonce. C'est sûr que c'est beaucoup plus confortable à utiliser. Maintenant, t'as tous les risques qui vont avec et faut en être conscient

sibfactory · Le 06/12/2017, à 11:22

Merci beaucoup shoot76 !

Je vais tenter KeepassX
Y a t'il un moyen d'exporter et importer ensuite les mots de passe de firefox Sync à Keepass ?

Sur la doc Ubuntu je vois KeepassX et Keepass2, lequel choisir ?

LukePerp · Le 06/12/2017, à 11:44

sibfactory a écrit :

Sur la doc Ubuntu je vois KeepassX et Keepass2, lequel choisir ?

keepassXC car c'est une variante native pour linux, régulièrement à jour et la suite d'un projet abandonné (keepassX). Donc n'installe pas keepassX et je te recommande keepassXC.
https://keepassxc.org/download#linux
Ils ont un ppa : https://launchpad.net/~phoerious/+archi … /keepassxc

Dernière modification par LukePerp (Le 06/12/2017, à 11:45)

shoot76 · Le 06/12/2017, à 11:49

Je connaissais pas KeePassXC. Maintenant, KeePassX est déjà développé en C++... et cross-plateforme. Je vois pas trop l'intérêt d'y greffer un truc en plus? Je serais curieux d'avoir le détail des changements? Tu l'as?

En trainant sur leur site c'est pas du tout une version "Linux". C'est une version communautaire qui vise à apporter des ajouts à KeePassX. C'est le monde du libre, tu fais ce que tu veux du code... maintenant, le concept est assez étrange. Quand tu vas sur GitHub, KeePassXC est loin des contributions de KeePassX. Pourquoi ne pas avoir simplement rejoint les développeurs de KeePassX et réalisé des Pull-Request.. je pense qu'ils ont du vouloir ajouter des trucs que KeePassX a refusé. Maintenant, reste à savoir pourquoi... Perso, je vais rester sur KeePassX qui semble mieux soutenu.

En tout cas, merci pour ma culture

Dernière modification par shoot76 (Le 06/12/2017, à 11:53)

LukePerp · Le 06/12/2017, à 13:15

shoot76 a écrit :

En trainant sur leur site c'est pas du tout une version "Linux". C'est une version communautaire qui vise à apporter des ajouts à KeePassX. C'est le monde du libre, tu fais ce que tu veux du code... maintenant, le concept est assez étrange. Quand tu vas sur GitHub, KeePassXC est loin des contributions de KeePassX. Pourquoi ne pas avoir simplement rejoint les développeurs de KeePassX et réalisé des Pull-Request.. je pense qu'ils ont du vouloir ajouter des trucs que KeePassX a refusé. Maintenant, reste à savoir pourquoi... Perso, je vais rester sur KeePassX qui semble mieux soutenu.

Attention, keepassX est obsolète depuis février 2016, presque deux ans !
https://www.keepassx.org/changelog
https://github.com/keepassx/keepassx/pulls
Alors que keepassXC a repris le projet de keepassX pour le continuer.
https://github.com/keepassxreboot/keepassxc
Pourquoi un fork plutôt que de rejoindre l'équipe initial ? Je vois 2 raisons hypothétiques valables :
- l'ancienne équipe n'a pas voulu ou ne répondait pas aux demandes de la nouvelle, dissolution de leur équipe, décès de membre...
- accélérer et améliorer le développement du projet

Dernière modification par LukePerp (Le 06/12/2017, à 13:18)

shoot76 · Le 06/12/2017, à 13:59

Merci pour l'info! C'est vrai que c'est important comme détail! J'avais pas vu ^^

krodelabestiole · Le 06/12/2017, à 14:29

LukePerp a écrit :

- l'ancienne équipe n'a pas voulu ou ne répondait pas aux demandes de la nouvelle

c'est ça : manque de réactivité du dev principal qui mettait des années à accepter la moindre pull request...

par contre keepass2 est moins bien intégré à gtk mais dispose de plus de fonctionnalités, en particulier il permet d'ouvrir et d'éditer des bases kdbx distantes (webdav, sftp, etc) ce qui permet de synchroniser facilement ses mot de passe sur tous ses appareils. avec un serveur nextcloud par ex.
à noter que nextcloud dispose d'une app pour ouvrir une base keepass dans son navigateur : https://github.com/jhass/nextcloud-keeweb

sur keepass2 on a aussi les URL Overrides qui je crois n'existent pas sur KeepassX(C) (merci de me contredire si c'est le cas) et qui permettent d'associer chaque protocole à un client particulier ou de créer ses propres protocoles pour les associer à un site web ou une ligne de commande par ex., et donc d'ouvrir le client ou le site correspondant en un double clic (par ex. le phpMyAdmin qui va bien).

Dernière modification par krodelabestiole (Le 06/12/2017, à 14:29)

LukePerp · Le 06/12/2017, à 14:54

Pour synchroniser une base kdbx distantes, je met tout simplement mon fichier kdbx dans un service cloud, tel que dropbox, drive ou owncloud. Ma base kdbx est donc synchronisée sur tous mes appareils, ce qui est plus simple que les modules spécifiques à paramétrer de keepass2 webdav, sftp etc. Chacun son truc ! L'important est de garder dans un endroit sécuriser ses mots de passe.
Au passage, pensez bien à utiliser à la fois un mot de passe et un fichier clé pour votre base kdbx.

shoot76 · Le 06/12/2017, à 15:27

Désolé mais je peux pas te laisser dire qu'un cloud est "sécurisé". C'est faux.

Pour faire une métaphore, c'est comme si tu stockais tes données les plus importantes sur la clé USB d'un collègue. Tous les jours tu lui emprunte sa clé, et tu stockes. Si il est de confiance, c'est bon. Par contre, si l'envie lui prend de regarder, rien ne l'en empêche. Un cloud c'est pareil... Tu stockes sur le PC de quelqu'un. Alors si c'est un cloud auto-hebergé chez toi, pas de soucis... par contre Dropbox, Google Drive, iCloud, et compagnie... tu peux lire leurs conditions générales et tu verras que TOUS les documents que tu y dépose ne t'appartiennent plus. Pour ma part, ça m'a fait réfléchir... Si c'est pour stocker tes photos de vacances, à la limite, y'a pas mort d'homme... mais des mots de passe, RIB, documents d'entreprise... c'est mort. Alors qu'au début, j'étais super fan des clouds! C'était tellement pratique... mais t'as un retour de bâton que, personnellement, je n'accepte pas.

Libre à chacun de faire ce qu'il veut, mais quand on utilise un service il faut être au courant des conditions d'utilisation et de ce que tu risques.

krodelabestiole · Le 06/12/2017, à 15:29

LukePerp a écrit :

Pour synchroniser une base kdbx distantes, je met tout simplement mon fichier kdbx dans un service cloud, tel que dropbox, drive ou owncloud.

tu veux dire que tu synchronises un répertoire local qui contient ton fichier kdbx ou que tu le fais manuellement ?
parce que KeePass2 permet justement d'éditer directement ta base sur ton cloud, pas de module à configurer, simplement File > Open -> Open URL (il gère lui même sa copie locale en cache, ce qui permet d'y accéder hors ligne).
...pas que ça change grand chose mais ça évite de laisser tourner un watcher juste pour ça ou de devoir copier manuellement son fichier régulièrement.

krodelabestiole · Le 06/12/2017, à 15:34

shoot76 a écrit :

si l'envie lui prend de regarder, rien ne l'en empêche.

... ben si.
keepass chiffre ta base de données. personne ne peut accéder à tes mots de passe avec le fichier entre les mains, à moins d'avoir le mot de passe principal.
d'où l'intérêt d'avoir un mot de passe principal fort, voir un fichier clé (attention à pas le paumer celui là).

de plus tu peux déployer ton propre cloud chez toi ou chez un bon hébergeur pro qui ne farfouillera pas dans tes fichiers.
en https (webdav), avec un certificat valide, personne ne pourra intercepter tes échanges.

krodelabestiole · Le 06/12/2017, à 15:36

en https (webdav), avec un certificat valide, personne ne pourra intercepter tes échanges.

(à part la NSA évidemment, qui a des backdoors dans ton processeur.)

shoot76 · Le 06/12/2017, à 15:42

Détente krodelabestiole, je parlais des clouds en général et des fichiers en général. Pas uniquement des fichiers kbdx.

Cependant, ils sont des fichiers comme les autres. Donc si quelqu'un possède ton mdp maitre, ça ne pose aucun problème pour l'ouvrir. Je tente juste de mettre en garde sur les services de cloud. Ni plus, ni moins. J'ai rien contre, faut juste savoir ce qu'on met dessus.

Et perso, j'irais pas y mettre mes mdp mais c'est un choix personnel.

Dernière modification par shoot76 (Le 06/12/2017, à 15:43)

krodelabestiole · Le 06/12/2017, à 15:47

shoot76 a écrit :

Détente krodelabestiole, je parlais des clouds en général et des fichiers en général.

oui mais du coup c'est peut-être un peu trop général...
parce que nextcloud et owncloud permettent par ex. de chiffrer tes données côté serveur si tu es vraiment parano.
et y a plein de prestataires qui les propose, ou d'autres service du même type (évidemment il y a toujours cette notion de confiance sur laquelle tu fais bien de mettre le doigt, mais il existe plein de structures de "confiance").

donc mieux vaut peut-être parler simplement de google drive, onedrive et dropbox ?

Dernière modification par krodelabestiole (Le 06/12/2017, à 15:57)

shoot76 · Le 06/12/2017, à 15:57

Malheureusement, non.

iCloud, OneDrive et j'en oublie surement font pareil.

Malheureusement, OwnCloud et NextCloud n'échappent pas à la règle... La sécurité de ceux-ci ne dépend pas du logiciel en lui même mais de qui le fait tourner et où. Si Google met NextCloud sur ses serveurs, ça n'en reste pas moins non sécurité. Tu comprends? Le problème est de trouver un hébergeur de confiance et transparent, pour ça on a depuis peu les chatons.

Le must étant d'être auto-hébergé. Mais cela a un coût plus important (électricité et matériel) mais également demande des compétences que tout le monde n'a pas. Si tu sais monter un cloud (nextcloud par exemple) tu prends un truc style RaspberryPi, ça consomme peu, c'est facile et discret. Le tout branché sur ta box, un certificat SSL, internet et t'as un cloud gratuit, hebergé chez toi. Si tu sais pas, les chatons.

Le reste, j'ai pas confiance

LukePerp · Le 06/12/2017, à 16:01

Je ne suis pas gêné d'avoir ma base kdbx dans dropbox, et que d'éventuelles personnes y accède, car la base est chiffrée avec un fichier clé + un mot de passe.
@krodelabestiole : oui, c'est ça, le fichier kdbx est synchronisé sur toutes mes machines via dropbox, comme n'importe quel autre fichier dedans (c'est le principe de dropbox). Une recherche rapide de keepass + dropbox te permettra de trouver des témoignages.

sibfactory · Le 06/12/2017, à 16:32

Du coup je suis perdu avec toutes ces versions de Keepass haha
Laquelle utiliser pour la synchro avec les autres appareils ? en remplacement de Firefox Sync
une qui pourrait éviter les dropbox, google drive... l'idée étant quand même d'en sortir
J'ai un nexcloud perso, si c'est faisable avec, je prend !

krodelabestiole · Le 06/12/2017, à 16:38

il y a une app qui s'appelle keeweb pour nextcloud, et qui permet de consulter tes mdp avec un navigateur web.

pour un ordi je te conseille keepass2.
ou si tu veux une meilleure intégration visuelle sous gnome ou dérivé, tu peux essayer keepassxc, à condition que tu gardes un répertoire synchronisé avec nextcloud, et que tu mettes ta base kdbx dedans.

pour android keepass2android, qui permet aussi d'accéder à ton kdbx sur ton nextcloud

Dernière modification par krodelabestiole (Le 06/12/2017, à 16:39)

shoot76 · Le 06/12/2017, à 16:43

Sur ton nextcloud perso tu peux stocker ton fichier et après te connecter soit en FTP soit directement sur le fichier synchronisé local. A chaque modification il synchronisera avec ton serveur.

Pour Firefox il te faudra installer l'extension keepass-http pour que L'extension KeeFox reconnaisse ton KeePass.

Sinon tu peux utiliser keeweb, c'est comme tu veux. L'avantage du libre, c'est que tu peux tout faire. L'inconvénient, c'est qu'il est parfois dur de s'y retrouver ^^

krodelabestiole · Le 06/12/2017, à 16:53

shoot76 a écrit :

FTP

WebDAV

shoot76 · Le 06/12/2017, à 16:56

Gracias!

sibfactory · Le 07/12/2017, à 14:14

J'ai installé KeepassXC.
ma base est dans nexcloud, donc accessible sur mes autres ordis.
Je peux me connecter, ouvrir ma base, copier/coller mon login/mot de passe etc

Le flou reste sur les extensions à utiliser pour une autocompletion dans firefox.
Je tombe sur https://addons.mozilla.org/en-US/firefox/addon/keefox/
je ne trouve pas keepass-http mais https://addons.mozilla.org/en-US/firefo … connector/
Pouvez-vous me guider la dessus ?
Quoique j'ai l'impression que niveau sécu c'est pas le top https://forum.ubuntu-fr.org/viewtopic.p … #p21765738

shoot76 · Le 07/12/2017, à 14:43

Je ne sais pas si ça marche avec KeePassXC, à confirmer : lien ici

Cependant ce que tu dis sur la sécurité m'intéresse... je savais pas! C'est assez inquiétant. Pour toutes les extensions de manière générale...

LukePerp · Le 07/12/2017, à 15:01

Au lieu d'installer des modules, augmentant le risque de sécurité, il suffit tout simplement d'utiliser les icônes de la barre d'outils de keepassxc, permettant copier/coller le login ou le mot de passe, représentant un bonhomme et un cadenas. Keepassxc efface de la mémoire la donnée copiée au bout de quelque seconde.

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 06/12/2017, à 11:07

KeepassX vs Firefox Sync

#2 Le 06/12/2017, à 11:14

Re : KeepassX vs Firefox Sync

#3 Le 06/12/2017, à 11:22

Re : KeepassX vs Firefox Sync

#4 Le 06/12/2017, à 11:44

Re : KeepassX vs Firefox Sync

#5 Le 06/12/2017, à 11:49

Re : KeepassX vs Firefox Sync

#6 Le 06/12/2017, à 13:15

Re : KeepassX vs Firefox Sync

#7 Le 06/12/2017, à 13:59

Re : KeepassX vs Firefox Sync

#8 Le 06/12/2017, à 14:29

Re : KeepassX vs Firefox Sync

#9 Le 06/12/2017, à 14:54

Re : KeepassX vs Firefox Sync

#10 Le 06/12/2017, à 15:27

Re : KeepassX vs Firefox Sync

#11 Le 06/12/2017, à 15:29

Re : KeepassX vs Firefox Sync

#12 Le 06/12/2017, à 15:34

Re : KeepassX vs Firefox Sync

#13 Le 06/12/2017, à 15:36

Re : KeepassX vs Firefox Sync

#14 Le 06/12/2017, à 15:42

Re : KeepassX vs Firefox Sync

#15 Le 06/12/2017, à 15:47

Re : KeepassX vs Firefox Sync

#16 Le 06/12/2017, à 15:57

Re : KeepassX vs Firefox Sync

#17 Le 06/12/2017, à 16:01

Re : KeepassX vs Firefox Sync

#18 Le 06/12/2017, à 16:32

Re : KeepassX vs Firefox Sync

#19 Le 06/12/2017, à 16:38

Re : KeepassX vs Firefox Sync

#20 Le 06/12/2017, à 16:43

Re : KeepassX vs Firefox Sync

#21 Le 06/12/2017, à 16:53

Re : KeepassX vs Firefox Sync

#22 Le 06/12/2017, à 16:56

Re : KeepassX vs Firefox Sync

#23 Le 07/12/2017, à 14:14

Re : KeepassX vs Firefox Sync

#24 Le 07/12/2017, à 14:43

Re : KeepassX vs Firefox Sync

#25 Le 07/12/2017, à 15:01

Re : KeepassX vs Firefox Sync

Pied de page des forums