Votre gestionnaire ne chiffre pas votre coffre avec votre mot de passe maître. Il ne le peut pas : une phrase tapée par un humain n'a ni la forme ni la robustesse d'une clé cryptographique.
Il fait passer cette phrase dans une fonction de dérivation de clé, ou KDF, qui la transforme en une clé de longueur fixe. Et cette fonction est conçue pour être lente exprès.
Pourquoi la lenteur est la fonctionnalité
Si dériver la clé prenait une microseconde, un attaquant en possession d'un coffre volé pourrait essayer des milliards de mots de passe candidats par seconde. Faire durer la dérivation une fraction de seconde ne change rien pour vous - vous tapez votre mot de passe une fois - et multiplie d'autant le coût de l'attaquant, à chaque tentative.
C'est toute la conception. Le délai que vous remarquez à peine est celui que l'attaquant paie, encore et encore.
Le nombre qui commande cela
La lenteur de la dérivation dépend d'un facteur de travail : des itérations pour PBKDF2, de la mémoire et des passes pour Argon2.
L'OWASP Password Storage Cheat Sheet place désormais Argon2id en tête de ses recommandations, avec un minimum de 19 Mio de mémoire, 2 itérations et 1 degré de parallélisme. Là où la conformité FIPS-140 est exigée, elle recommande PBKDF2 avec 600 000 itérations ou plus, en HMAC-SHA-256.
La progression historique mérite qu'on s'y arrête. Le nombre d'itérations PBKDF2 recommandé est passé de 10 000 en 2010 à 600 000 aujourd'hui - soixante fois plus, parce que le matériel des attaquants a accéléré pendant que les mathématiques, elles, n'ont pas bougé.
Le réglage que personne ne revoit
Voici la conséquence pratique, et la raison d'être de cet article.
Votre compte a été configuré le jour de sa création, avec la valeur par défaut de ce jour-là. Si vous l'avez ouvert il y a des années, le facteur de travail enregistré est peut-être encore celui qu'on jugeait suffisant à l'époque, pas celui qu'on juge suffisant maintenant. Les recommandations ont bougé ; votre compte ne les a pas suivies tout seul.
La plupart des gestionnaires sérieux exposent ce réglage, et plusieurs ont fait migrer leur valeur par défaut vers Argon2id. Le changer tient généralement à un champ dans les paramètres de sécurité, et la clé est re-dérivée au déverrouillage suivant.
Deux précautions avant d'y toucher. Augmenter le facteur de travail rend le déverrouillage plus lent sur votre appareil le plus lent - le vieux téléphone, pas l'ordinateur de bureau - alors testez-y. Et exportez d'abord une sauvegarde de votre coffre : l'opération rechiffre, et une interruption au mauvais moment n'est pas le moment de découvrir qu'on n'avait pas de copie.
Ce qui protège réellement le coffre
L'ordre compte davantage que n'importe quel chiffre isolé.
Un mot de passe maître long et unique vient en premier. Aucun facteur de travail ne rattrape une phrase faible : il ne fait que multiplier le temps nécessaire pour la casser, et multiplier un très petit nombre laisse un petit nombre.
Ensuite les réglages du KDF, qui décident de ce que coûte l'attaque d'un coffre volé.
Ensuite tout le reste - l'authentification à deux facteurs protège le compte sur les serveurs du fournisseur, mais elle ne protège pas un fichier de coffre exporté que l'attaquant détient déjà. Seuls le mot de passe maître et le KDF le font.
En résumé
Votre mot de passe maître n'est pas la clé : c'est l'entrée d'une fonction volontairement lente qui produit la clé. Cette fonction a un facteur de travail, les recommandations actuelles sont Argon2id ou PBKDF2 à 600 000 itérations, et la valeur sur votre compte est probablement celle par défaut du jour de votre inscription. Cela mérite un coup d'œil, une fois.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Voir l'offre NordPass30 jours satisfait ou remboursé · Plan gratuit disponible→Questions fréquentes
Qu'est-ce qu'un KDF dans un gestionnaire de mots de passe ?
Une fonction de dérivation de clé transforme votre mot de passe maître en clé cryptographique. Une phrase tapée n'a ni la longueur ni la robustesse voulues pour chiffrer un coffre directement : le gestionnaire la passe donc dans une fonction comme PBKDF2 ou Argon2id, qui produit une clé de longueur fixe. La fonction est volontairement lente, car c'est cette lenteur qui rend le devinage coûteux.
Combien d'itérations KDF faut-il ?
Les recommandations OWASP actuelles placent Argon2id en premier, avec un minimum de 19 Mio de mémoire, 2 itérations et 1 degré de parallélisme. Là où la conformité FIPS-140 est exigée, elles recommandent PBKDF2 avec 600 000 itérations ou plus en HMAC-SHA-256. À titre de comparaison, le nombre recommandé était de 10 000 en 2010 : il monte à mesure que le matériel des attaquants accélère.
Pourquoi une fonction lente est-elle une bonne chose ?
Parce que vous payez le délai une fois, au déverrouillage, et que l'attaquant le paie à chaque mot de passe candidat. Une dérivation d'une fraction de seconde est imperceptible pour vous et multiplie d'autant le coût d'une attaque par force brute, pour chacune de milliards de tentatives. La rapidité ne servirait jamais qu'à l'attaquant.
Faut-il changer le réglage KDF d'un vieux compte ?
Cela vaut la peine de vérifier, car votre compte conserve la valeur par défaut du jour de sa création et les recommandations ont beaucoup monté depuis. Deux précautions : un facteur de travail plus élevé ralentit le déverrouillage sur votre appareil le plus lent, testez-y plutôt que sur un ordinateur rapide, et exportez d'abord une sauvegarde de votre coffre, car le changement le rechiffre.
L'authentification à deux facteurs rend-elle le KDF moins important ?
Non, les deux protègent des choses différentes. L'authentification à deux facteurs protège votre compte sur les serveurs du fournisseur. Elle ne fait rien pour un fichier de coffre exporté ou volé, sur lequel un attaquant peut travailler hors ligne à son rythme. Face à ce fichier, seuls comptent la robustesse de votre mot de passe maître et le facteur de travail du KDF.