Vue d'ensemble de la sécurité de RoboForm for Business

Description du produit

RoboForm est un système de gestion de mots de passe qui se compose de plusieurs éléments:  

• Basé sur un ordinateur, un appareil mobile ou un navigateur RoboForm Clients and
• Serveur central appelé RoboForm Server qui fournit la gestion des licences, la synchronisation, le stockage, l'interface d'administration pour les utilisateurs professionnels, la distribution des politiques RoboForm, ainsi que la capacité de remplissage de formulaires et de gestion des mots de passe via un client web. Les données utilisateur de RoboForm peuvent contenir un ou plusieurs des types d'objets de données RoboForm suivants:

RoboForm protège les données des utilisateurs sur leurs appareils, en transit et sur le serveur. RoboForm utilise la cryptographie symétrique pour protéger les données des utilisateurs. Tous les éléments de données RoboForm sont regroupés dans un seul fichier crypté avec l'algorithme AES-256. RoboForm utilise le concept d'un mot de passe principal lisible par l'homme, que l'utilisateur peut définir, et qui est utilisé par RoboForm pour générer une clé AES-256 pour le cryptage et le décryptage des données.

Les données et la sécurité de RoboForm dépendent de la complexité du mot de passe principal de l'utilisateur. RoboForm applique des exigences minimales de complexité du mot de passe principal en n'autorisant pas les utilisateurs à choisir un mot de passe principal ne répondant pas à ces exigences minimales. Les exigences minimales pour le mot de passe principal sont de 12 caractères, dont au moins 4 caractères non numériques.

Dans la version RoboForm for Business, ces exigences peuvent être augmentées (pas diminuées) par l'administrateur de l'entreprise pour inclure des conditions supplémentaires. Dans la version Business, ces exigences seront appliquées via des politiques qui se propagent automatiquement aux clients de l'utilisateur à partir du serveur RoboForm.

 

Création de compte et génération du mot de passe principal

Lorsqu'un nouvel utilisateur est sur le point de créer un compte, RoboForm lui demande de créer son mot de passe principal. C'est le seul mot de passe que l'utilisateur devra se souvenir pour accéder à tous ses objets de données RoboForm, que ce soit localement ou en ligne.

RoboForm utilise deux fonctions cryptographiques distinctes et unidirectionnelles pour générer la clé symétrique pour le cryptage/décryptage des données locales et le mot de passe côté serveur. Les deux algorithmes utilisent deux "sels" créés aléatoirement et spécifiques à l'utilisateur.

La génération des clés de cryptage AES utilise l'algorithme PBKDF2 (Password-Based Key Derivation Function 2) avec la fonction de hachage SHA-256 et un sel aléatoire long (32 octets). PBKDF2 est un algorithme itératif avec un nombre d'itérations suffisamment élevé (4 000 par défaut).


 

Un nombre plus élevé d'itérations offre une meilleure protection contre les attaques par force brute et les attaques par dictionnaire en les ralentissant, mais aussi en rendant les clients RoboForm proportionnellement plus lents, en particulier sur les appareils lents (Android, iOS) ou les applications (site web RoboForm Online). Rendre délibérément un algorithme lent est une pratique acceptée visant à prévenir les attaques par dictionnaire contre les magasins d'authentification compromis.

Cette technique s'appelle "renforcement de clé" ou "étirement de clé". Nous recommandons d'augmenter la longueur du mot de passe principal plutôt que d'augmenter le nombre d'itérations, car selon certains chercheurs, l'ajout de deux caractères à la longueur du mot de passe est à peu près équivalent à multiplier le nombre d'itérations par 1 000, tout en ne ralentissant pas l'algorithme.

Une combinaison de 10 000 itérations et d'un mot de passe de 7 lettres est déjà insuffisamment sécurisée et peut être forcée par brute force relativement rapidement, comme cela a été démontré il y a quelque temps sur l'un des produits concurrents de RoboForm.

Seul le mot de passe côté serveur généré à partir du mot de passe principal de l'utilisateur est partagé avec le serveur RoboForm. Il est pratiquement impossible de récupérer le mot de passe principal de l'utilisateur ou la clé AES-256 à partir de ce mot de passe côté serveur en raison de la nature unidirectionnelle de l'algorithme utilisé pour le générer.

 

Serveurs RoboForm

Le client RoboForm se connecte périodiquement au serveur RoboForm pour effectuer un ensemble de tâches collectivement appelées synchronisation. L'action de synchronisation est toujours initiée par un client RoboForm.

Synchronisation entre le client RoboForm et le serveur

La synchronisation est effectuée:

• Périodiquement, toutes les 15 minutes.
• Lors de l'entrée du mot de passe principal côté client RoboForm par l'utilisateur.
• Lors du changement des données utilisateur sur le client RoboForm.
• Lors de l'action de partage ou d'envoi des objets de données RoboForm effectuée par l'utilisateur local sur le client RoboForm.
• Manuellement via l'interface graphique du client RoboForm.

Authentification de l'utilisateur pendant la synchronisation et l'accès web

La synchronisation de l'utilisateur n'est disponible que lorsque l'utilisateur saisit avec succès le mot de passe principal sur un appareil local. Le mot de passe principal est vérifié en décryptant avec succès le stockage des données locales à l'aide de la clé AES-256 dérivée de celui-ci. Lors de l'accès à un compte en ligne sur le serveur RoboForm, le serveur vérifie le mot de passe principal en utilisant un algorithme spécial de défi-réponse en envoyant uniquement des codes de hachage dérivés de manière irréversible du mot de passe principal et de nombres générés aléatoirement.

Le serveur surveille également les tentatives d'authentification réussies et rejetées afin de prévenir les tentatives de sondage d'ID utilisateur et de devinette de mot de passe, en limitant le taux de traitement des requêtes et en bloquant temporairement l'accès depuis les IP des clients suspectées ainsi que les comptes utilisateurs attaqués. Le serveur RoboForm utilise une combinaison de blocage d'IP source et de comptes pour ralentir les attaques par force brute et par déni de service (DoS).

Licences
 

L'une des fonctions essentielles du serveur RoboForm est de fournir des informations de licence aux clients RoboForm. Lors de chaque synchronisation, le client RoboForm demande au serveur RoboForm de fournir les informations de licence.

Partage des données RoboForm

Les utilisateurs des versions Consommateur (Everywhere) et Entreprise ont la possibilité de partager des objets de données RoboForm (y compris les identifiants) avec d'autres utilisateurs. Le partage est un processus par lequel un utilisateur RoboForm peut rendre un ou plusieurs de ses objets de données RoboForm accessibles à un ou plusieurs autres utilisateurs RoboForm. Il existe trois types de partage : "envoi de données", "envoi de dossiers" et "partage de groupe". Ces trois types de partage utilisent un mécanisme de livraison très similaire, mais des concepts de partage différents qui sont décrits ci-dessous.

Envoi de données (Gratuit, Everywhere, Entreprise)

Tous les utilisateurs, gratuits et payants, ont la possibilité "d'envoyer" l'un de leurs objets de données RoboForm à un autre utilisateur RoboForm. Lorsqu'un objet de données RoboForm est envoyé, une copie de celui-ci est livrée via un protocole cryptographique au stockage de données RoboForm crypté du destinataire. Une fois l'objet envoyé, l'expéditeur n'a plus aucun contrôle sur celui-ci (par exemple, l'accès à cet objet ne peut pas être révoqué et les modifications apportées à cet objet du côté de l'expéditeur ne peuvent pas être automatiquement propagées).

Envoi de dossiers (Everywhere, Entreprise)

Les utilisateurs payants peuvent partager un dossier avec d'autres utilisateurs RoboForm. Lorsqu'un expéditeur choisit de partager un dossier avec un destinataire, ce dernier est notifié. Après avoir reçu la notification, le destinataire a la possibilité de rejeter ou d'accepter la demande et de recevoir une copie locale de ce dossier partagé via un protocole cryptographique.. 

Un dossier partagé peut contenir un nombre illimité d'objets de données RoboForm. Un expéditeur peut ajouter jusqu'à 5 destinataires et spécifier différents niveaux de permission pour chacun d'eux. Ces permissions s'appliqueront à chaque objet de données RoboForm à l'intérieur du dossier partagé.

Ces niveaux définissent les permissions pour effectuer des opérations sur les objets de données RoboForm à l'intérieur de ce dossier: 


 

La permission "Utiliser" permet uniquement à l'utilisateur d'utiliser effectivement un objet de données RoboForm avec les restrictions possibles maximales. La permission "Utiliser" permet à l'utilisateur de: 

• Identifiant : utiliser l'identifiant pour se connecter automatiquement à une application (Windows) ou à un site web.
• Identité : remplir les formulaires avec les informations provenant de l'identité.
• Contact : remplir les formulaires avec les informations provenant du contact.
• Favoris : ouvrir une page web définie dans les favoris.
• SafeNote : pareil que "Lire", afficher le contenu d'une SafeNote.

Par nature, la permission "Lire" est uniquement différente de la permission "Utiliser" pour les objets de données RoboForm de type Login. Sans la permission "Lire", l'utilisateur limité ne peut pas voir le contenu de l'objet de données RoboForm de type Login. Combinée au fait que la plupart des applications et des sites Web masquent le contenu du champ de mot de passe, cette option offre un contrôle supplémentaire pour dissimuler les mots de passe des utilisateurs.

La permission "Modifier" permet à l'utilisateur de modifier le contenu de tous les objets de données RoboForm dans le dossier, y compris l'ajout, la suppression ou la modification du contenu des champs au sein de cet objet de données RoboForm. 

La permission "Créer" permet à l'utilisateur de créer et de supprimer des objets de données RoboForm dans le dossier.

L'ajout simple d'un Login ou d'un autre objet de données RoboForm le rend automatiquement disponible pour tous les destinataires du dossier. Toute modification d'un Login ou de tout autre objet de données RoboForm est automatiquement propagée à tous les destinataires du dossier lors du processus de synchronisation. Seuls l'expéditeur (le propriétaire du dossier) et le gestionnaire du dossier sont autorisés à ajouter ou supprimer des utilisateurs, et à modifier les permissions des utilisateurs. 

Partage de groupe(Business)

Les utilisateurs de RoboForm pour Business peuvent être autorisés à utiliser à la fois les fonctions de "envoi" et de "partage de dossier" si l'administrateur de l'entreprise leur permet dans les politiques RoboForm. 

RoboForm pour Business propose le "Partage de groupe" comme méthode supplémentaire de partage des logins et autres objets de données RoboForm spécifiquement conçus pour une utilisation en entreprise. Un groupe RoboForm est un objet qui offre une connexion logique entre un nombre illimité d'utilisateurs RoboForm et un nombre illimité d'objets de données RoboForm.

Les administrateurs d'entreprise peuvent créer un nombre illimité de groupes RoboForm. Les administrateurs d'entreprise peuvent attribuer un niveau de permission individuel à chaque utilisateur RoboForm au sein d'un groupe RoboForm.

Ces niveaux définissent les permissions pour effectuer des opérations sur les objets de données RoboForm au sein de ce groupe: 

• L'Administrateur d'entreprise peut créer des groupes RoboForm, effectuer toutes les opérations sur les utilisateurs RoboForm et les objets de données RoboForm au sein d'un groupe.
• Les Gestionnaires de groupe (assignés par l'administrateur ou un autre gestionnaire de groupe de ce groupe particulier) peuvent effectuer toutes les opérations sur les utilisateurs RoboForm et les objets de données RoboForm au sein d'un groupe.
• Les Utilisateurs réguliers peuvent utiliser, lire et modifier les objets de données RoboForm.
• Les Utilisateurs limités ne peuvent que utiliser les objets de données RoboForm.

La permission "Utiliser" permet uniquement à l'utilisateur RoboForm d'utiliser effectivement un objet de données RoboForm avec les restrictions maximales possibles. La permission "Utiliser" permet à l'utilisateur de :

Login : utiliser le login pour se connecter automatiquement à une application (Windows) ou à un site web

• Identité: remplir les formulaires avec les informations d'une Identité
• Contact:remplir les formulaires avec les informations d'un Contact.
• Favoris:ouvrir une page web définie dans les Favoris
• SafeNote: pareil que "Lire", afficher le contenu d'une SafeNote

Par nature, la permission "Lire" est uniquement différente de la permission "Utiliser" pour les objets de données RoboForm de type Login. Sans la permission "Lire", l'utilisateur limité ne peut pas voir le contenu de l'objet de données RoboForm de type Login. Combinée au fait que la plupart des applications et des sites Web masquent le contenu du champ de mot de passe, cette option offre un contrôle supplémentaire limité mais efficace pour dissimuler les mots de passe des utilisateurs.. 

La permission "Modifier" permet à l'utilisateur RoboForm de modifier le contenu de tous les objets de données RoboForm au sein du groupe RoboForm, y compris l'ajout, la suppression ou la modification du contenu des champs dans cet objet de données RoboForm.

La permission "Créer" permet à l'utilisateur de créer et de supprimer des objets de données RoboForm au sein du groupe RoboForm.

L'ajout simple d'un Login ou d'un autre objet de données RoboForm le rend automatiquement disponible à tous les membres du groupe RoboForm. Toute modification de n'importe quel Login ou autre objet de données RoboForm est automatiquement propagée à tous les membres du groupe RoboForm lors du processus de synchronisation.

Catégories de gestion des données RoboForm

Les objets de données RoboForm sont soit gérés par les utilisateurs, soit partagés avec les utilisateurs et gérés par l'expéditeur (un autre utilisateur RoboForm ou une entreprise). Tous les objets de données RoboForm créés par l'utilisateur sont gérés par ce même utilisateur. Tous les objets de données RoboForm partagés avec l'utilisateur via la fonction d'envoi sont gérés par l'utilisateur destinataire (l'expéditeur conserve et gère sa propre copie). Dans ce scénario, RoboForm crée une copie locale de l'objet envoyé dans le dépôt de données de l'utilisateur (One File) et l'encrypte avec le mot de passe principal de l'utilisateur.

Tous les objets de données RoboForm partagés avec l'utilisateur via la fonction de partage de dossier sont, par défaut, gérés par l'expéditeur. L'expéditeur peut désigner le destinataire comme gestionnaire de dossier. Dans ce cas, le destinataire pourra également gérer ses propres données à partir du dossier partagé.

Par défaut, tous les objets de données RoboForm partagés avec l'utilisateur via la fonction de partage de groupe (réservée aux entreprises) sont gérés par l'administrateur de l'entreprise ou le gestionnaire de groupe. L'administrateur de l'entreprise ou le gestionnaire de groupe peut désigner le destinataire comme gestionnaire de groupe. Dans ce cas, le destinataire pourra également gérer ses propres données à partir du groupe partagé. Tous les administrateurs de l'entreprise peuvent gérer tous les objets de données RoboForm dans tous les groupes RoboForm partagés.


 

Synchronisation des données

La synchronisation des données n’est autorisée que dans les versions Everywhere et Business de RoboForm. Elle n’est pas disponible dans la version Gratuite. Une exception limitée est accordée aux utilisateurs de la version Gratuite : ils peuvent envoyer et recevoir des objets de données RoboForm via la fonction Envoyer et accepter les invitations d’accès d’urgence.

Les versions Consumer (type de compte Everywhere) et Business de RoboForm traitent les données des utilisateurs différemment. Dans la version Consumer (type de compte Everywhere) de RoboForm, une copie des données gérées par l'utilisateur est toujours conservée sur l'appareil où le client RoboForm est installé. La décision de synchroniser ces données avec le serveur RoboForm et de conserver une copie de ces données sur le serveur est prise par l'utilisateur.

Dans la version Business de RoboForm, une copie chiffrée des données gérées par l'utilisateur est toujours conservée sur l'appareil où le client RoboForm est installé et, par défaut, sur le compte de l'entreprise hébergé sur le serveur RoboForm.

L'administrateur de l'entreprise, en utilisant les politiques RoboForm, peut restreindre les utilisateurs de RoboForm à la création de tout objet de données RoboForm (la restriction peut être appliquée par type d'objet de données RoboForm), limitant ainsi les utilisateurs de RoboForm aux seuls objets de données RoboForm qui leur sont attribués par l'entreprise via la fonctionnalité de partage de groupe RoboForm.

RoboForm utilise une combinaison de cryptographie symétrique (AES-256 par défaut) et asymétrique, également appelée cryptographie à clé publique (RSA avec une longueur de clé de 2048 bits par défaut), pour fournir un moyen cryptographiquement sécurisé permettant aux utilisateurs de partager des objets de données RoboForm.

Protocole cryptographique

Lorsqu'un utilisateur crée un compte RoboForm, le RoboForm local sur cet appareil génère une paire de clés publique/privée pour cet utilisateur. La clé privée est stockée dans le fichier OneFile de l'utilisateur et est toujours chiffrée par le mot de passe principal de l'utilisateur. Cette clé privée est propagée vers d'autres appareils appartenant au même utilisateur, ainsi que les identifiants, les SafeNotes, les identités, les favoris, les contacts et autres données de l'utilisateur.

La clé publique de l'utilisateur est rendue accessible au serveur RoboForm. Lorsque l'expéditeur demande à RoboForm d'envoyer un objet de données RoboForm (un ou plusieurs identifiants, safenotes, identités, favoris ou contacts) au destinataire ou de partager un dossier avec celui-ci, ce qui suit se produit:

1. RoboForm du côté de l'expéditeur (localement sur l'appareil) crée une clé temporaire (une clé AES-256 générée aléatoirement et unique, qui n'est pas connue du serveur RoboForm).
2. RoboForm du côté de l'expéditeur (localement sur l'appareil) demande au serveur et reçoit les clés publiques de tous les destinataires.
3. RoboForm du côté de l'expéditeur (localement sur l'appareil) chiffre la clé temporaire avec la clé publique de chaque destinataire.
4. Le destinataire reçoit la clé temporaire (qui a été précédemment chiffrée avec la clé publique du destinataire) et la déchiffre (localement sur l'appareil) avec sa propre clé privée, depuis le serveur, via le processus de synchronisation automatique.
5. RoboForm envoie la clé temporaire chiffrée avec la clé publique de chaque destinataire, ainsi que l'objet de données RoboForm envoyé, au serveur ; depuis lequel chaque destinataire correspondant peut la demander automatiquement via le processus de synchronisation. RoboForm n'utilise que des canaux chiffrés pour communiquer entre le serveur RoboForm et les clients RoboForm. Toutes les données sont envoyées sous forme chiffrée entre le serveur RoboForm et les clients RoboForm.
6. Le destinataire reçoit l'objet de données RoboForm partagé et le déchiffre (localement sur l'appareil) avec la clé temporaire qui a été déchiffrée lors de l'étape précédente, puis le stocke localement sous forme chiffrée, protégée par le mot de passe principal du destinataire.
7. Le destinataire peut maintenant effectuer des opérations avec l'objet ou les objets de données RoboForm reçus. RoboForm effectuera uniquement les opérations de déchiffrement localement sur l'appareil du destinataire.
   
    

Il est important de noter qu'en utilisant ce schéma, seul le destinataire peut déchiffrer sa copie de la clé temporaire chiffrée avec sa clé publique. Cette clé temporaire déchiffrée peut être utilisée pour déchiffrer les données partagées, puis utiliser l'objet de données RoboForm partagé (par exemple, utiliser l'identifiant pour remplir les informations de connexion sur un site web). Personne d'autre ne peut déchiffrer les copies chiffrées de la clé temporaire.

La seule différence majeure dans la manière dont RoboForm gère les groupes réside dans le fait qu'une clé de groupe est créée au lieu d'une clé temporaire, et cette clé est générée au moment où le groupe en question est créé. En utilisant la clé de groupe, l'administrateur effectue toutes les opérations que l'expéditeur réalise dans la description ci-dessus en utilisant la clé temporaire.

La copie de la clé de groupe de l'administrateur est conservée sous forme chiffrée avec sa clé publique. Seules les actions de l'administrateur peuvent permettre à RoboForm (localement sur l'appareil de l'administrateur) de la déchiffrer et de la rechiffrer avec les clés publiques des autres membres du groupe. S'il y a plusieurs administrateurs au sein d'un groupe, chaque administrateur peut utiliser sa propre copie chiffrée de la clé de groupe pour fournir l'accès aux données aux autres membres du groupe.