Introduction

Régulièrement, que ce soit sur Internet ou à l’usage de certaines applications on nous demande des mots de passe, des jetons d’accès, des codes, etc.

L’ère du numérique se faisant, nous avons énormément de comptes et de « secrets » à mémoriser.

Il existe des outils pour en faciliter la gestion et c’est ce dont nous allons parler ici.

Solutions

Comme souvent, il existe une multitude d’outils :

• des logiciels mono-utilisateur, multi-utilisateur,
• par interface Web, interface graphique (installé localement), en ligne de commande,
• hébergé soi-même, par un tiers, installé localement,
• chiffré ou non,
• avec une base de données,
• en synchronisant avec diverses plateformes (ou pas),
• sous une licence libre, open-source ou propriétaire,
• payante, gratuite, essai limité,
• etc.

Nous ne parlerons pas de toutes les possibilités : cela doit dépendre de vos besoins.

À titre personnel

Je préconiserais des solutions différentes mais multiplateformes :

• KeePassXC  : une solution tout en un à installer sur son ordinateur et avec une interface graphique,
• pass  : une solution utilisant un dépôt Git comme source des mots de passes, chiffrés avec une clé GPG et possédant plusieurs interfaces graphiques dont QtPass ,
• et Proton  : en ligne, avec des prix allants de gratuits à ~10€/mois.

Pour un travail en groupe

Il y a une ribambelle de solutions en ligne. En voici quelques unes plus ou moins connues :

• Bitwarden  : Open-source. Gratuit. Dispose de multiples interfaces (web, desktop, mobile, CLI, Authenticator app, plugins de navigateur).
• Proton Pass  : En ligne. Gratuit, mais devient payant pour un usage en équipe.
• Passbolt  : Open-source. Peut s’installer gratuitement (auto-hébergement).
• Vault  : produit par HashiCorp (ceux qui font, entre autre, Terraform). Code propriétaire. Peux s’installer gratuitement (auto-hébergement). Propose des solutions payantes.

Réflexion pour le choix d’une solution

Ce paragraphe existe pour mémoire, nul besoin de le lire si cela ne vous intéresse pas.

Nous avons listé 4 outils précédemment :

• Bitwarden,
• Passbolt,
• Proton Pass,
• Vault (Hashicorp).

J’aimerais que l’outil utilisé soit open-source (voire Libre) et auto-hébergeable pour être accessible depuis plusieurs endroits par une équipe.

Vault est propriétaire. Proton Pass seulement hébergé chez Proton. La liste est réduite à 2 éléments : Passbolt et Bitwarden.

En me renseignant, je vois que Bitwarden et Passbolt sont relativement bien maintenus, régulièrement mis à jour, possèdent de nombreux clients pour s’y connecter. Bitwarden étant apparemment plus connu ces 5 dernières années sur Google Trends .

Sur l’image, Bitwarden est en rouge, Passbolt en bleu. Bitwarden a clairement plus d’intérêt que son « concurrent ». Cela peut laisser penser que l’outil est plus utilisé, c’est à dire bien plus éprouvé que son « concurrent ». Et donc mis à jour régulièrement pour corriger les éventuelles failles mais aussi avoir plus de personnes intéressées pour maintenir de manière bénévole l’outil.

Bien, maintenant que nous sommes sur Bitwarden, renseignons-nous sur les possibilités offertes.

En lisant un article de Korben.info au sujet de Bitwarden on constate qu’il existe une version légère, écrite en Rust du serveur Bitwarden, appelée Vaultwarden . Ce dernier semble compatible avec Bitwarden et donc avec les multiples interfaces de Bitwarden.

Je pense qu’on tient là une bonne piste pour s’essayer à l’installation d’un serveur Vaultwarden à la maison 😉.

Conclusion

Suite à ces pérégrinations dans le monde du « vault » et afin de répondre aux besoins d’une équipe de DevOps sur des infrastructures multiples nécessitant de nombreux mots de passe, nous allons nous tourner vers Vaultwarden.

Je vous invite à en savoir plus sur la page consacrée à l'installation de Vaultwarden  !

Liens utiles

• Bitwarden , solution open-source et auto-hébergeable
• Passbolt , solution open-source et auto-hébergeable (moins connue)
• Proton Pass , solution en ligne gratuite
• Vault de chez HashiCorp , solution très utilisée en DevOps (notamment en lien avec Gitlab)
• Vaultwarden , un serveur léger compatible avec Bitwarden, open-source, écrit en Rust