Limites déclarées Bientôt disponible
Avant d’y mettre les identifiants de l’entreprise, lisez ce qu’il ne couvre pas
Kamzan Pass fait une seule promesse : le serveur ne reçoit ni ne conserve les clés. Les mots de passe sont chiffrés et déchiffrés sur votre appareil. Cette page dit le reste, pour que votre service informatique décide en connaissance de cause.
Le projet n’a pas encore été vérifié par un cryptographe externe
Nous le disons d’abord parce que c’est la première chose à savoir : tant que cette vérification n’existe pas, aucune phrase de ces pages ne doit être lue comme une garantie vérifiée par des tiers. Un service informatique sérieux demande les limites avant de choisir un gestionnaire de mots de passe, et il est juste qu’il les trouve ici sans les chercher. Le guide de Kamzan Pass les détaille entièrement.
Comment ça marche
-
Ce qu’il promet
Le serveur ne reçoit ni ne conserve les clés : il conserve des textes chiffrés et des métadonnées. Il ne connaît ni noms d’éléments, ni sites, ni utilisateurs, ni mots de passe, ni codes, ni notes, ni le mot de passe maître.
-
Ce que le serveur voit
Qui utilise Kamzan Pass, quels vaults existent, qui en fait partie et avec quel rôle, combien d’éléments ils contiennent, quand ils changent, quand et d’où l’on se connecte. Combien de secrets et avec qui, pas sur quels sites.
-
Ce qu’il vous reste à faire
Utiliser l’extension, un long mot de passe maître, des disques chiffrés et des appareils verrouillés. Et avoir plus d’un administrateur, pour que quelqu’un regarde ce que font les autres.
Une seule promesse, et la liste de ce qu’elle ne couvre pas.
Ce que vous pouvez faire
-
Vault web et extension ne sont pas identiques
Le vault web est chargé par le serveur à chaque ouverture : qui le contrôlerait pourrait servir une version lisant le mot de passe maître. C’est vrai de tout gestionnaire web. Le code de l’extension arrive signé par le magasin du navigateur.
-
La récupération d’entreprise est un accès
Si elle est activée, un dépositaire peut ouvrir le compte de n’importe qui dans l’entreprise. Cela reste écrit, et la personne est avertie si elle peut encore se connecter. Avec deux clés, il faut deux dépositaires, mais deux qui s’entendent peuvent agir seuls.
-
Qui a vu un mot de passe le connaît
Retirer une personne d’un vault change les clés et prépare la liste des mots de passe à changer, mais ne les lui fait pas oublier. Il faut vraiment les changer sur les sites. Qui peut lire un élément peut aussi le copier.
-
La confiance au premier contact
La première fois que vous partagez avec un collègue, vous faites confiance au fait que sa clé est bien la sienne : c’est Jinni qui vous la présente. Ensuite, si elle change, vous le voyez. Qui veut la certitude compare l’empreinte en personne.
-
L’appareil est hors périmètre
Un logiciel malveillant ou une extension aux permissions excessives ne s’arrêtent pas d’ici. Un appareil déverrouillé et sans surveillance, c’est un compte remis. S’il est volé, ce qui compte est le chiffrement du disque et un long mot de passe maître.
-
Ce qui n’est pas encore testé
La connexion Microsoft ou Google dans l’extension. Le remplissage sur de vrais sites au-delà de la première étape, y compris l’enregistrement et les codes temporels. La partie pour les ordinateurs quantiques est un choix de conception, pas une garantie.
Questions fréquentes
Jinni peut-il lire mes mots de passe ?
Le serveur ne reçoit ni ne conserve les clés : avec ce qu’il conserve, il ne les lit pas. La limite est le vault web : c’est le serveur qui le fournit, et qui le contrôlerait pourrait servir une version modifiée. L’extension est la façon la plus protégée d’utiliser Kamzan Pass.
L’administrateur peut-il voir les mots de passe ?
Pas du seul fait d’administrer : les vaults ne se lisent pas ainsi. Mais si la récupération est activée, l’entreprise peut récupérer un compte, et qui administre décide qui peut devenir dépositaire. Dans une entreprise avec un seul administrateur, personne d’autre ne regarde.
Que se passe-t-il si le serveur est compromis ?
Sur le serveur, il y a des textes chiffrés et des métadonnées, pas les clés. Il peut toutefois refuser le service, supprimer des données, présenter un état ancien ou assouplir les règles jusqu’aux minimums. Un appareil qui connaissait l’état récent s’en aperçoit ; un appareil tout juste connecté, non.
Y aura-t-il une vérification externe ?
Il n’y en a pas aujourd’hui, et cette page reste la référence : tant qu’elle n’existe pas, rien ne doit être lu comme une garantie vérifiée par des tiers. Si votre entreprise a des exigences particulières, parlons-en avant de l’adopter.
Les autres fonctionnalités de Kamzan Pass
Vous voulez le voir avant son arrivée ?
Nous vous montrons Kamzan Pass sur un vault d’essai : comment partager un mot de passe, ce qui se passe quand quelqu’un quitte l’entreprise et ce que le serveur ne voit pas. Une demi-heure, sans engagement.
Alex