The Clash of Experts: How Good of a Solution are Password Managers?

Les chercheuses et chercheurs en cybersécurité Andréanne Bergeron et Olivier Bilodeau, collègues chez GoSecure, mettent en scène un débat structuré sur l'utilité réelle des gestionnaires de mots de passe autonomes pour les non-experts, né d'un désaccord survenu en rédigeant ensemble un billet sur les mots de passe. Bergeron soutient que l'adoption reste faible, entre soixante-dix et quatre-vingts pour cent des gens n'en utilisent pas, à cause d'un manque de sensibilisation, de la mauvaise presse entourant des brèches comme celle de LastPass, de l'effort ajouté par-dessus l'authentification multifacteur, et du risque de point de défaillance unique si le coffre, un appareil ou le mot de passe maître est perdu ou volé. Bilodeau réplique avec des démonstrations en direct montrant que la rotation des mots de passe et le stockage de jetons TOTP prennent quelques secondes, soutient que l'expertise en sécurité devrait être centralisée comme le droit l'est dans les cabinets d'avocats, et recadre le débat autour de la modélisation des menaces : la plupart des attaquants sont distants, opportunistes et cherchent de l'argent, pas une personne en particulier. Les deux s'entendent : ces outils sont imparfaits mais nécessaires, les gestionnaires intégrés au navigateur restent une porte d'entrée acceptable malgré le risque de vol par script intersite, et une approche par paliers s'impose en attendant la maturité de l'Alliance FIDO.