• Le mot de passe maître
• Le fichier clé
• Le compte utilisateur Windows
• Pour les administrateurs : spécifications des propriétés minimales des clés principales

Votre fichier de base de données de KeePass est chiffré en utilisant une clé principale. Cette clé principale peut être constituée de plusieurs composants : un mot de passe maître, un fichier clé et/ou une clé qui est protégée en utilisant le compte utilisateur courant de Windows.

Pour ouvrir un fichier de base de données, alors tous les composants de la clé principale sont nécessaires.

Si vous oubliez/perdez un composant de la clé principale (ou oubliez la composition), alors toutes les données enregistrées dans la base de données sont perdues. Il n'y a pas de porte dérobée et ni de clé universelle qui puisse ouvrir votre base de données.

Le mot de passe maître

Si vous utilisez un mot de passe maître, vous n'avez qu'à seulement vous souvenir d'un mot de passe ou d'une phrase de passe (ce qui devrait être bon) pour ouvrir votre base de données.

KeePass propose une fonctionnalité de protection contre les attaques par force-brute ou par dictionnaire sur la clé principale, lire la page d'informations sur la sécurité pour plus de détails.

Le fichier clé

Un fichier clé est un fichier qui contient une clé (et éventuellement d'autres données comme, par exemple un hachage qui permet de vérifier l'intégrité d'une clé). L'extension du fichier est typiquement 'keyx' ou 'key'.

Un fichier clé ne peut pas être modifié, sinon vous ne pourrez plus du tout ouvrir votre base de données. Si vous souhaitez utiliser un fichier clé différent, alors ouvrez la boîte de dialogue pour changer la clé principale (via 'Fichier' → 'Modifier la clé principale...') et créer/sélectionner le nouveau fichier clé.

La protection à deux facteurs : un fichier clé est quelque chose que vous devez posséder afin d'être capable d'ouvrir la base de données (contrairement à un mot de passe maître, que vous devez connaître). Si vous utilisez à la fois un fichier clé et un mot de passe maître, alors vous avez une protection à deux facteurs : possession et connaissance.

Emplacement : comme mentionné ci-dessus, l'idée c'est que vous possédez quelque chose, si un attaquant s'accapare à la fois de votre base de données et de votre fichier clé, alors le fichier clé n'offre plus de protection. Donc, les deux fichiers doivent être stocké à deux endroits différents. Par exemple, vous pourriez enregistrer le fichier clé sur une clé USB à part.

En cachant la localisation : le contenu du fichier clé doit être tenu secret, pas sa localisation (chemin/nom du fichier). En essayant de cacher le fichier clé (par exemple : en le sauvegardant parmi des milliers d'autres fichiers, dans l'espoir qu'un attaquant ne saura pas quel fichier est celui qui est bon) n'augmentera pas typiquement la sécurité, parce qu'il est facile de trouver le bon fichier (par exemple : en inspectant le dernier temps d'accès des fichiers, les listes des fichiers récemment utilisés du système d'exploitation, l'audit des logs du système de fichiers, les logs du logiciel anti-virus, etc.). KeePass posséde une option pour se souvenir des chemins des fichiers clé, qui est activée par défaut ; le désactiver diminue seulement l'utilisation sans augmenter la sécurité.

Sauvegarde : vous devriez créer une sauvegarde de votre fichier clé (sur un équipement de stockage de données indépendant). Si votre fichier clé est un fichier XML (ce qui est le cas par défaut), alors vous pouvez également créer une sauvegarde au papier (KeePass 2.x fournit une commande pour imprimer une sauvegarde d'un fichier clé dans le menu 'Fichier' → 'Imprimer'). Dans tous les cas, la sauvegarde devrait être stockées à un endroit sécurisé, où seulement vous et éventuellement d'autres personnes en qui vous aurez confiance auront accès. Plus de détails à propos de la sauvegarde d'un fichier clé peuvent être trouvés dans la FAQ ABP.

KeePass prend en charge les formats de fichier clé suivants :

• XML (recommandé, par défaut) : il existe un format XML pour les fichiers clé. KeePass 2.x utilise ce format par défaut, c'est-à-dire que lorsqu'on crée un fichier clé dans la boîte de dialogue de la clé principale, un fichier clé XML est créé. La syntaxe et la sémantique du format XML permettent de détecter certaine corruptions (notamment celles causées par des erreurs matérielles ou des problèmes de transfert), et un hachage (en fichier clé XML version 2.0 ou supérieure) permet de vérifier l'intégrité de la clé. Ce format résiste à la plupart des changements d'encodages et de caractère nouvelle ligne (ce qui est utile par exemple quand l'utilisateur ouvre et enregistre le fichier clé ou quand on le transfert depuis/vers un serveur). Un tel fichier clé peut être imprimé (en guise de sauvegarde sur papier), et des commentaires peuvent être ajoutés au fichier (avec la syntaxe XML usuelle : <!-- ... -->). C'est le format le plus flexible ; de nouvelles fonctionnalités pourront être facilement ajoutées dans le futur.
• 32 octets : Si le fichier clé contient exactement 32 octets, alors ceux-ci sont utilisés comme une clé cryptographique de 256 bits. Ce format nécessite le moins d'espace disque.
• Hexadécimal : si le fichier clé contient exactement 64 caractères hexadécimaux (0-9 et A-F, en encodage ASCII/UTF-8, une ligne, aucun espace), ceux-ci sont décodés vers une clé cryptographique de 256 bits.
• Haché : si un fichier clé ne correspond pas à un des formats ci-dessus, alors son contenu est haché en utilisant une fonction de hachage cryptographique afin de fabriquer une clé (typiquement une clé de 256 bits avec SHA-256). Ceci permet d'utiliser des fichiers arbitraires en guise de fichier clé.

Réutilisation : Vous pouvez utiliser un fichier clé pour plusieurs bases de données. Ceci peut être intéressant, mais gardez à l'esprit que lorsqu'un attaquant obtient votre fichier clé, vous devez modifier les clés principales de tous les fichiers de base de données protégés avec ce fichier clé.

Pour réutiliser un fichier clé existant, cliquez sur le bouton avec l'icône 'Enregistrer' dans la boîte de dialogue de création de la clé principale et sélectionnez le fichier existant. Après avoir accepté la boîte de dialogue, KeePass vous demandera si vous souhaitez écraser ou réutiliser le fichier (voir capture d'écran).

Le compte utilisateur Windows

KeePass 1.x ne prend pas en charge le chiffrement des bases de données à l'aide de l'accréditation d'un compte d'utilisateur Windows. Seuls KeePass 2.x et supérieur le prennent en charge.

Pour les administrateurs : spécifications des propriétés minimales des clés principales

Des administrateurs peuvent spécifier une longueur minimale et/ou la qualité estimée minimale qu'un mot de passe maître doit avoir afin d'être accepté. Vous pouvez signaler à KeePass de vérifier ces deux exigences minimales en ajoutant/éditant les définitions appropriées dans le fichier de configuration INI/XML.

La valeur de la clé KeeMasterPasswordMinLength peut contenir la longueur minimale du mot de passe principal en caractères. Par exemple, en spécifiant KeeMasterPasswordMinLength=10, KeePass n'acceptera que des mots de passe principaux comportant au moins 10 caractères.

La valeur de la clé KeeMasterPasswordMinQuality peut contenir la qualité minimale estimée en bits que les mots de passe maîtres doivent avoir. Par exemple, en spécifiant KeeMasterPasswordMinQuality=64, uniquement les mots de passe principaux avec une qualité estimée d'au moins 64 bits seront acceptés.