Pourquoi le chiffrement Zero-Knowledge est essentiel pour un gestionnaire de mots de passe

Quand vous confiez vos données les plus sensibles à un gestionnaire de mots de passe — identifiants bancaires, emails, portails de santé — vous prenez une décision de confiance fondamentale. Mais et si vous n'aviez à faire confiance à personne ?

Le problème des gestionnaires traditionnels

La plupart des gestionnaires de mots de passe chiffrent vos données, mais la clé de chiffrement est dérivée côté serveur, ou un hash de votre mot de passe maître est transmis lors de la connexion. Cela signifie :

• L'entreprise pourrait accéder à vos données (sur ordonnance judiciaire, par un employé malveillant, ou lors d'une fuite)
• Le hash de votre mot de passe maître transite sur le réseau, créant une surface d'attaque
• Une fuite côté serveur pourrait exposer le matériel cryptographique

LastPass l'a prouvé en 2022 : lors de leur fuite, les coffres chiffrés ont été volés avec les métadonnées. Même si le chiffrement a tenu, les données volées donnent aux attaquants un temps illimité pour forcer les mots de passe maîtres faibles.

Ce que Zero-Knowledge signifie vraiment

Zero-knowledge signifie que le serveur n'a jamais la capacité de déchiffrer vos données — pas "nous choisissons de ne pas le faire", mais "c'est mathématiquement impossible." Les différences clés :

• La dérivation de clé se fait sur votre appareil. Votre mot de passe maître est transformé en clé de chiffrement via Argon2id localement. La clé ne quitte jamais votre navigateur.
• Authentification sans transmission. Au lieu d'envoyer un hash, des protocoles comme OPAQUE (RFC 9807) vous permettent de prouver que vous connaissez le mot de passe sans le révéler.
• Le serveur ne stocke que du texte chiffré. Même avec un accès complet à la base de données, un attaquant n'obtient que des blobs chiffrés sans moyen de dériver la clé.

OPAQUE : la nouvelle génération

OPAQUE est un protocole d'échange de clés authentifié par mot de passe (PAKE) qui va au-delà des systèmes zero-knowledge traditionnels. Dans un système standard, le serveur stocke encore un hash (bcrypt, PBKDF2) de votre mot de passe. Avec OPAQUE :

• Le serveur stocke une enveloppe opaque — pas un hash
• Pendant l'authentification, un échange cryptographique se produit sans que ni l'un ni l'autre ne révèle de secrets
• Même un dump complet de la base de données ne révèle rien d'utilisable sur votre mot de passe

SandPass est l'un des premiers gestionnaires de mots de passe à implémenter OPAQUE, le rendant résistant aux attaques qui compromettraient les systèmes zero-knowledge traditionnels.

Ce qu'il faut vérifier

Quand vous évaluez un gestionnaire de mots de passe, posez ces questions :

• Le mot de passe maître est-il transmis — même sous forme de hash ?
• L'entreprise pourrait-elle théoriquement accéder à mes données ?
• Que se passe-t-il si leurs serveurs sont compromis ?
• La pile de chiffrement utilise-t-elle des bibliothèques open-source auditées ?

Si la réponse aux deux premières n'est pas un "non" catégorique, vous faites confiance à une politique — pas aux mathématiques.

Conclusion

Le chiffrement zero-knowledge n'est pas un buzzword marketing — c'est un choix architectural fondamental qui détermine si votre sécurité repose sur les promesses d'une entreprise ou sur des garanties cryptographiques. Dans un monde de fuites permanentes, choisissez les mathématiques plutôt que la confiance.