Sécurité : ce qu’OTP Pink protège, et ce qu’il ne peut pas

Cette page concerne l’extension OTP Pink. Le site que vous lisez est une chose distincte : il compte les visites, et la page confidentialité explique comment.

Ce contre quoi il protège

• Une copie de vos données sans votre mot de passe. Le coffre-fort dans le stockage des extensions du navigateur, les sauvegardes automatiques et l’export .pinkotp sont chiffrés. Quelqu’un qui copie votre profil de navigateur ou l’un de ces fichiers n’apprend rien sur vos comptes, hormis la taille approximative du coffre-fort et ses paramètres de dérivation de clé. Le temps qu’il faut pour deviner dépend du mot de passe que vous choisissez.
• Les fichiers altérés ou malveillants. Les données chiffrées, les métadonnées qui leur sont liées et chaque clé enveloppée sont authentifiées : la moindre modification de l’une d’elles empêche le coffre-fort ou le fichier de s’ouvrir, plutôt que de le laisser s’ouvrir avec un contenu faussé. Un fichier importé est vérifié — taille, structure et paramètres de dérivation de clé — avant qu’aucune clé ne soit dérivée, si bien qu’un fichier ne peut pas faire exécuter à l’extension un calcul sans limite.
• Le réseau. L’extension n’effectue aucune requête réseau : il n’y a donc aucun serveur qui puisse laisser fuiter des données ou être piraté, et rien à intercepter.
• Les pages que vous visitez. OTP Pink n’a d’accès permanent à aucun site. Il ne lit un onglet qu’après que vous l’y avez ouvert, et seulement tant que le navigateur conserve cet accès pour l’onglet. Le script qu’il y exécute se contente de lire la page et n’effectue aucune requête, et ce qu’il trouve vous est montré avant que quoi que ce soit ne soit ajouté.
• Un ancien mot de passe. Changer le mot de passe remplace la clé de données et chiffre de nouveau le coffre-fort : d’anciens éléments de clé remis en place ne peuvent pas ouvrir le coffre-fort actuel avec l’ancien mot de passe.

Ce contre quoi il ne protège pas

• Un ordinateur ou un navigateur compromis. Un logiciel malveillant, un navigateur compromis ou une autre extension capable de déboguer ou d’inspecter les extensions peut lire ce qu’OTP Pink affiche et, tant que le coffre-fort est déverrouillé, sa clé.
• Le retour en arrière, la suppression ou la détérioration. Quelqu’un qui peut écrire dans le stockage des extensions du navigateur peut remettre une copie plus ancienne, correctement chiffrée, du coffre-fort — ce qui fait revenir un compte que vous aviez supprimé —, ou bien le supprimer ou l’endommager. Les sauvegardes automatiques se trouvent dans le même profil de navigateur, à la même portée, et sont supprimées avec l’extension. Le chemin de retour, c’est un fichier .pinkotp que vous gardez hors du navigateur (sauvegardes).
• Un mot de passe faible. Argon2id ralentit les tentatives pour le deviner ; il ne rend pas sûr un mot de passe court ou réutilisé.
• Les fichiers plus anciens. Un fichier .pinkotp ou une sauvegarde automatique faits avant un changement de mot de passe s’ouvrent toujours avec le mot de passe en vigueur au moment de leur création. Si ce mot de passe a fuité, supprimez-les.
• Ce que vous sortez en clair. Les exports non chiffrés, les codes QR affichés à l’écran et la feuille de récupération imprimée contiennent vos clés telles quelles. Un code copié dans le presse-papiers peut être lu par d’autres logiciels tant qu’il s’y trouve. Effacer le presse-papiers est une commodité, pas une garantie : OTP Pink ne peut pas lire le presse-papiers pour vérifier ce qu’il contient, donc tout ce que vous avez copié après le code est effacé aussi.
• L’hameçonnage. Un code saisi sur un faux site peut être utilisé aussitôt par ce site. OTP Pink place en premier les codes du site où vous êtes, mais il ne juge pas le site à votre place.
• Les paramètres à côté du coffre-fort. Un petit enregistrement de l’appareil est conservé sans chiffrement : le thème, le délai de verrouillage automatique, une correction d’horloge, un identifiant d’appareil aléatoire, la date du dernier export du coffre-fort depuis ce navigateur (avec une empreinte du coffre-fort chiffré à ce moment-là, pour le rappel d’export) et la date jusqu’à laquelle ce rappel est reporté, ainsi que deux interrupteurs de fonctions qui ne sont pas dans cette version.

Le chiffrement, en chiffres

• Le coffre-fort est chiffré avec AES-256-GCM sous une clé de données aléatoire de 256 bits, avec un nonce neuf de 12 octets à chaque écriture. Les métadonnées stockées à côté du texte chiffré sont authentifiées avec lui.
• La clé de données est enveloppée avec une clé dérivée de votre mot de passe par Argon2id : 64 MiB de mémoire, 3 passes, parallélisme 1.
• Le mot de passe compte au moins 8 caractères et n’est jamais stocké.
• Un fichier importé ou restauré est vérifié avant qu’aucune clé ne soit dérivée d’un mot de passe : les fichiers de plus de 10 MiB sont refusés, et la décompression est plafonnée à 16 MiB.

Le verrouillage

Le coffre-fort se verrouille après le délai d’inactivité que vous choisissez — 1, 5 ou 15 minutes, 1 heure, ou jamais — et à la fermeture du navigateur. Tant qu’il est déverrouillé, la clé de données est conservée dans le stockage de session du navigateur, qui vit en mémoire et est vidé à la fermeture du navigateur, là où l’extension peut le rendre inaccessible à ses autres contextes ; là où elle ne le peut pas, la clé reste uniquement dans la mémoire de l’arrière-plan de l’extension. Les délais de verrouillage et les changements de mot de passe sont décrits dans verrouillage et mot de passe.

Ce que l’extension peut faire

Autorisations dans Chrome et Edge : storage, alarms, activeTab, clipboardWrite, scripting, contextMenus, offscreen et sidePanel. Dans Firefox : storage, alarms, activeTab, clipboardWrite, scripting et contextMenus. Facultatives, demandées seulement quand vous activez un réglage : tabs.

• Sur une page : uniquement sur un onglet où vous avez ouvert OTP Pink — son bouton dans la barre d’outils, son élément de menu contextuel ou votre raccourci. Il y exécute un script fourni avec l’extension, qui lit la page à la recherche d’un code QR, d’un lien de configuration ou d’une clé écrite en toutes lettres, ne modifie rien et n’envoie rien. Tant que le navigateur conserve cet accès pour l’onglet, il cherche de nouveau quand une page s’y charge. Pour lire un QR que le script ne peut pas atteindre, il prend une image de l’onglet visible.
• Le presse-papiers : il écrit le code que vous copiez, puis y écrit une chaîne vide pour l’effacer. Il ne lit jamais le presse-papiers.
• Codes du site sur tous les onglets — un réglage facultatif. Activé, il demande au navigateur l’autorisation tabs (le navigateur la formule « Consulter votre historique de navigation » ou « Accéder aux onglets du navigateur ») et ne lit que l’adresse de l’onglet actif, jamais son contenu. Un site n’est conservé que lorsque vous l’associez à un compte.
• Aucune autorisation d’hôte, pas de webRequest, aucun script de contenu qui reste sur les pages, et une politique de sécurité du contenu qui commence par default-src 'none' et définit connect-src 'none'.

Vérifiez-le vous-même

La promesse : le code de l’extension n’effectue aucune requête http:, https:, ws: ou wss: et aucune connexion WebRTC — ni vers un serveur, ni vers la page où vous êtes. Le chargement de ses propres fichiers empaquetés (chrome-extension://…, moz-extension://…) et les adresses locales data: ou blob: ne sont pas des requêtes réseau.

1. Le panneau latéral. Chrome ou Edge : clic droit à l’intérieur du panneau → Inspecter → Réseau. Firefox : about:debugging → Ce Firefox → OTP Pink → Examiner → Réseau ; cette boîte à outils appartient à l’arrière-plan de l’extension, et la barre latérale peut avoir besoin de la sienne (clic droit à l’intérieur → Examiner, avec la boîte à outils du navigateur activée).
2. L’arrière-plan. Chrome ou Edge : chrome://extensions (ou edge://extensions) → Mode développeur → OTP Pink → service worker → Réseau. Dans Firefox, la même fenêtre Examiner le couvre.
3. Utilisez l’extension : déverrouillez, ajoutez un compte, trouvez une clé sur une page, copiez un code, exportez. L’onglet Réseau ne montre que les fichiers de l’extension elle-même.

Les liens du pied du panneau — 301.st, la boutique — sont des liens ordinaires qui ouvrent un nouvel onglet quand vous cliquez dessus ; l’extension ne charge rien depuis eux.

L’utiliser en toute sécurité

• Un mot de passe long que vous n’utilisez nulle part ailleurs.
• Un délai de verrouillage adapté à la façon dont vous laissez votre ordinateur.
• Un export .pinkotp chiffré gardé hors du navigateur, et son mot de passe retenu. Le panneau vous le rappelle de nouveau 30 jours après un export si le coffre-fort a changé depuis.
• Supprimez les exports non chiffrés une fois importés, et gardez une feuille imprimée comme vous gardez un passeport.