Trousseau d'accès MAC OS X 10.7 - Mot de Passe Safari

[Appanoplie]

Bonjour à tous,
Tout d'abord, j'espère sincèrement que cette question n'a pas déjà été traitée.
Il est vrai qu'il y a bcp de discussions concernant le trousseau d'accès MacBook etc. Mais je n'ai pas trouvé ce que je voulais savoir.

À priori, ma question n'est pas très compliquée.

"pourquoi, lorsque le trousseau est verrouillé, je peux accéder à mes sessions sur FB, Twitter ou tout autre site dont je possède un compte ?"

le site se connecte à ma session même si le trousseau est verrouillé. Alors oui, on peut passer en navigation privée, mais cette option, n'importe qui peut la désactiver.

Donc j'aimerais comprendre le véritable lien entre le trousseau, les mots de passent stockés sur safari (les mêmes que sur le trousseau, non?), l'option safari qui permet le remplissage auto et la navigation privée (qui ne sert pas à grand chose si ce n'est pour protéger son historique au final).

L'objectif serait par conséquent de pouvoir accéder automatiquement à mes sessions (FB twitter, autres comptes sur le web) lorsque le trousseau est déverrouillé, et supprimer mes identifiants mot de passe lorsque qu'il est verrouillé.

Merci par avance pour votre aide.

 

[jeromedeuf]

Bonjour,

Je pense que si safari te connecte automatiquement c'est que tu lui as dit de mémoriser ton mot de passe à la première connexion.
Le principe que tu souhaiterais utiliser n'existe pas, à ma connaissance, dans le trousseau d'accès de mac OSX. Cependant, il existe un excellent logiciel qui fait tout ça et bien plus: 1password. Il est assez cher à l'achat (40&#8364 mais ça les vaut.

 

[FrançoisMacG]

Il y a plusieurs notions différentes, que je vais schématiser.


Le mot de passe du Trousseau te permet d'accéder à l'application Safari, et donc de pouvoir l'utiliser.

Le remplissage automatique enregistre tes réponses aux formulaires : tu tapes le premier caractère, et les autres suivent.

Les sites t'identifient d'emblée, sans mot de passe ni formulaire, grâce aux cookies et autres joyeusetés de l'onglet Safari > Préférences > Confidentialité.
Ensuite, le site peut nous reconnaître : souvent, on lui a demandé lors de notre inscription de nous reconnaître automatiquement, en cochant un menu. Mais il doit y avoir aussi des sites qui nous reconnaissent obligatoirement, ou tout au moins par défaut.
Je ne pratique ni FB ni Twitter : d'autres te diront peut-être comment ne plus jamais être reconnu automatiquement chez eux,
mais je doute que cela puisse être modulable à volonté à partir de ton Mac, à moins d'une extension à Safari ?

La navigation privée ne sert qu'à ne pas laisser de trace dans la session : personne ne peut ainsi savoir où tu es allé.

1Password enferme dans un container étanche tous les mots de passe et identifiants utilisés sur le web,
et son mot de passe est inviolable et différent de celui du Trousseau.
On le paramètre pour qu'il se referme automatiquement après un certain délai.

 

[Appanoplie]

Ça fait plaisir d'avoir des réponses ! Merci, sincèrement.
J'ai pris note de toutes ces infos.

- Concernant 1password, il ne peut pas être substitué par FileVault intégré à l'OS ?

Pour en revenir à ma question, j'trouve ça dommage ! Puisque clairement, si quelqu'un chope le MAC allumé, et ouvert sur une session : OK il ne peut récupérer aucun mot de passe (heureusement), mais finalement il peut quand même accéder à tout le reste et foutre le bordel, lire les mails etc.

Par exemple un type a un compte fnac en ligne avec de la tunes. Qqln peut aller sur le site acheter des trucs (enfin j'imagine, même avec un trousseau verrouillé)

FrançoisMacG, je te cite : "Le mot de passe du Trousseau te permet d'accéder à l'application Safari, et donc de pouvoir l'utiliser."
Or chez moi, si le "pop-up" me demandant de dévérouiller le trousseau apparait, je peux très bien le faire glisser sur le côté et continuer à naviguer. Chelou ?
Par conséquent, il y a peut être un moyen de bloquer carrément l'accès à Safari lorsque le trousseau est verrouillé, tu dois en savoir plus que moi !? (finalement, peut on bloquer des Apps lorsque le trousseau est lock ?)

En fait, j'aurais imaginer que le trousseau soit utilisé comme un mur, ou la grille et le pont-levis !
Verrouillé = VERROUILLÉ

---------- Nouveau message ajouté à 21h07 ---------- Le message précédent a été envoyé à 20h39 ----------

Sinon, y'a "verrouiller l'écran" qui peut correspondre à cette image du mur que représenterait le trousseau.
Mais en fait, c'était pas vmt ça mon but, j'me suis égaré. lol
Finalement, j'ai trouvé le terme à employer ! J'voudrais que l'on puisse utilisé le Mac en mode "invité" d'un simple clic. Mais bon ça n'a pas l'air d'être faisable... en 1 clic tout du moins.
(au passage, il faut redémarrer à chaque fois pour accéder à la session "invité" ?

 

[FrançoisMacG]

FileVault n'est utile que quand on a quitté toutes les sessions du Mac.

Pour préserver l'accès physique à ta session, tu n'as pas d'autre option que de verrouiller l'écran
= à toi de t'en servir au quotidien, à chaque fois que tu te lèves de ta chaise : ça résoudra tous tes problèmes métaphysiques.

Quand je suis sur le site de la FNAC, j'accède tout de suite à ma liste de souhaits d'achat dans mon panier (le cookie m'a fait reconnaître),
mais pour valider un achat, je dois fournir mon mot de passe
= il y a deux étages, encore une fois.

Les Options des Préférences Système > Utilisateurs permettent d'activer la Permutation rapide d'utilisateur (via le menu qui porte ton nom abrégé en haut de ton écran).


Bref, tu as besoin d'apprendre le b-a-ba d'un Mac :

Ah ben tant qu'à faire
le pavé

Et hop !

Sources d'infos et tutos
( plus ou moins classé par ordre croissant de niveau)

Très bons tutos vidéos en francais
http://rhinos-mac.fr/

autres tutos special débutants en francais ( divers formes de tutos)
http://www.debutersurmac.com/tutoriels/accueil.html

tutos officiels Apple
pour dernier OS mais mêmes principes généraux pour OS précédents
http://www.apple.com/fr/support/mac101/
special switch
http://support.apple.com/kb/HT2514?viewlocale=fr_FR&locale=fr_FR
http://support.apple.com/kb/HT2512?viewlocale=fr_FR&locale=fr_FR
http://support.apple.com/kb/HT2518?viewlocale=fr_FR
en anglais:
http://www.apple.com/support/switch101/

très bon site sur OS X
http://www.osxfacile.com/index.html
----
autres tutos vidéos
tutos Apple des bases (videos en anglais)
http://www.apple.com/findouthow/mac/

http://www.macpoweruser.net/podcast/index.html
http://www.vodeclic.com/parcourir/tous_les_packs
http://www.logicielmac.com/pages/tutoriaux_liste.php

J’ajoute un caillou au pavé :
http://www.apple.com/fr/findouthow/mac/ = les Bases en français
http://www.apple.com/fr/findouthow/mac/#switcher = intro pour switchers
htp://www.apple.com/fr/support/switch101/ = switch en français
http://www.apple.com/pro/tips/ = petits trucs en anglais

 

[Appanoplie]

Magnifique tous ces tuyaux ! Thanks a lot !

 

[Oxley]

Bonjour,
Je déterre le sujet…

Je constate avec stupeur que Safari stocke les mots de passe. Je pensais que Safari communiquait avec le trousseau pour les trouver.
Donc je clique sur l'un des mots de passe stocké dans Safari (genre session macg) pour m'assurer que je ne peux pas le voir et que je suis bien obligé de passer par le trousseau ou tout du moins qu'il va me falloir déverrouiller le trousseau pour que Safari me montre ce fameux mot de passe…

Safari, pour ce faire, me demande un mot de passe qui s'avère être mot de passe session (celui qui me permet d'utiliser mon Mac) ALORS QUE j'ai créé un mot de passe spécifique pour mon trousseau d'accès session !!! Donc Safari stocke bien "chez lui" les mots de passe et se fout du trousseau. Il suffit de donner à Safari son mot de passe session et tout devient transparent !!!

A quoi sert le mot de passe "trousseau d'accès session" si Safari donne les infos avec le seul mot de passe session ?

A quoi sert le trousseau si Safari stocke lui-même les infos ? (Je ne parle pas des sauvegardes de notes par exemple).

Encore plus étrange. J'ai vidé les mots de passe contenus dans Safari et ça les a vidés du trousseau qui pourtant était verrouillé. En revanche voulant faire l'opération inverse il a fallu que je déverrouille le trousseau pour supprimer un mot de passe stocké dans le trousseau (ça c'est logique) et ça l'a supprimé de Safari.

Il y a donc quelque chose qui m'échappe. Au final Safari semble bien communiquer avec le trousseau pour stocker chez lui les mots de passe qui sont dans le trousseau mais il permet de contourner le mot de passe spécifique au "trousseau d'accès session" quand on lui demande de montrer ces fameux mots de passe.

Quelqu'un pourrait-il m'expliquer le fonctionnement ?




Il y a autre chose que je ne comprend pas non plus et c'est peut-être là le point crucial.
Dans la barre de notification (la barre horizontale au sommet de l'écran) au niveau du cadenas on a le terme "trousseau". Ce trousseau est déverrouillé lorsqu'on ouvre sa session, c-à-d avec son mot de passe session Mac. En revanche le trousseau d'accès session (D'ailleurs "Keychain Access" qui doit vouloir dire "Accès au trousseau" a été traduit par "trousseau d'accès", voilà-voilà…) reste verrouillé si comme dans mon cas on a crée un mot de passe spécifique pour celui-ci.
Les trousseaux "system" et "system roots" (suis en anglais désolé) restent verrouillés par défaut donc quel est le trousseau déverrouillé avec le mot de passe session ?

J'ai créé un nouveau trousseau "bidon" juste pour essayer de comprendre.
Les trousseaux session, system et system roots sont fermés et ce nouveau trousseau est ouvert. Le cadenas de la barre de notification qui apparaît fermé me propose de déverrouiller le trousseau login (ok) et de déverrouiller le trousseau "bidon" qui est ouvert (pas ok du tout).

Je fais l'opération inverse: je verrouille le trousseau "bidon" et ouvre le trousseau session, les deux autres sont toujours fermés et le cadenas de la barre de notification qui apparaît verrouillé me propose de déverrouiller le trousseau login (pas ok du tout puisqu'il est déjà ouvert) et de déverrouiller le trousseau "bidon" (ok).

Si je verrouille les deux (session et "bidon") le cadenas qui apparaît toujours fermé me propose d'ouvrir les deux (logique).

Si je déverrouille les deux (session et "bidon") le cadenas qui apparaît toujours fermé me propose d'ouvrir les deux (pas logique du tout).

Si je "lock" mon écran et que je reviens (donc je rentre mon mot de passe session) cette fois-ci le cadenas de la barre de notification reste fermé donc mon login n'a pas déverrouillé le trousseau dont je ne sais toujours pas ce qu'il représente.

Bref c'est la "demer" et j'ai envie de tout péter :mad::mad::mad: !!!


J'en arrive à envisager l'achat de 1Password mais ça ne me plaît pas comme solution car le trousseau est un produit Apple et ça devrait fonctionner au poil, non ?! A moins qu'il aient embaucher des mec de Crosoft pour cette application. Va savoir...

 

[FrançoisMacG]

Bonsoir, et bienvenue,

Au final Safari semble bien communiquer avec le trousseau pour stocker chez lui les mots de passe qui sont dans le trousseau mais il permet de contourner le mot de passe spécifique au "trousseau d'accès session" quand on lui demande de montrer ces fameux mots de passe.

J'en arrive à envisager l'achat de 1Password mais ça ne me plaît pas comme solution car le trousseau est un produit Apple et ça devrait fonctionner au poil, non ?!

On a été (un peu) prévenus (ou presque) :

4. Trousseau iCloud

OS X a toujours disposé d’une fonction dédiée à stocker et à protéger tous les mots de passe et notamment ceux utilisés sur les sites internet. OS X Mavericks synchronise désormais ces données entre tous vos appareils, Mac, iPhone ou iPad. Pour accompagner cette fonction qui nécessite OS X 10.9 et iOS 7, Safari intègre un générateur de mots de passe pour s’inscrire plus rapidement et renforcer la sécurité de ses comptes.

Cette fonction sert aussi à enregistrer les données de ses cartes de paiement pour accélérer les achats. Attention toutefois, contrairement aux solutions complètes comme 1Password, Apple ne demande pas de mot de passe pour accéder aux données : n’importe quel utilisateur pourra utiliser vos mots de passe ou votre carte de crédit s’il utilise votre session.

= j'utilise 1Password depuis longtemps, sans FileVault ni mot de passe du programme interne.

 

[Oxley]

Bonjour,
Et merci pour ta réponse mais je souhaiterais qq précisions si c'est du domaine du possible

1)
Dans la barre de notification au niveau du cadenas on a le terme "trousseau". Ce trousseau est déverrouillé lorsqu'on ouvre sa session, c-à-d avec son mot de passe session Mac. En revanche le trousseau d'accès session reste verrouillé si comme dans mon cas on a crée un mot de passe spécifique pour celui-ci.
Les trousseaux "system" et "system roots" restent verrouillés par défaut donc quel est le trousseau déverrouillé avec le mot de passe session ?

2)
D'autre part en admettant que personne ne touche mon précieux est-ce vraiment "safe" de laisser Safari stocker tous les mots de passe et numéro de carte bancaire. Etant un ancien du monde PC la paranoïa est toujours de mise. Est-ce impossible qu'à distance qq'un vienne fureter sur notre Mac et récupère notamment toutes ses données ?

3)
Ce qui m'embête avec 1Password outre le fait qu'il faille payer alors qu'il y a le trousseau sur Mac (donc compris dans le prix) est qu'il faille aussi acheter la version iPhone/iPad pour synchroniser ses mots de passe sur tous nos iBidules. C'est du moins ce que j'ai compris...
Si des utilisateurs chevronnés utilisent 1Password faut-il en conclure que le trousseau n'est pas si sécurisé que cela ?

4)
Autre question que je me pose:
Safari va-t-il stocker en son sein les mots de passe contenus dans 1Password comme il le fait avec le trousseau ? Car si oui on tourne en rond et alors avec le mot de passe session on peut accéder à tous les mots de passe !!!

5)
Dernière question:
On arrive sur un site afin de s'enregistrer et Safari par le biais de 1Password ou 1Password directement si c'est possible propose de remplir les champs Id et password. On déverrouille 1Password et il fait son boulot.
On navigue ensuite sur un second site sur lequel il est aussi question de s'enregistrer. Doit-on redéverrouiller 1Password ou bien est-il resté déverrouillé depuis la visite sur le premier site ?
Dans le cas où 1Password reste déverrouillé à partir du moment où on l'a déverrouillé une première fois, en quoi est-ce une solution sûre ?


Merci pour tout éclaircissement.
Have a good evening guys !

 

[FrançoisMacG]

1/ C'est le trousseau de la session qui est déverrouillé : ça permet aux applications d'utiliser les mots de passe du Compte. Les trousseaux verrouillés de la racine sont quand même utilisés en tâche de fond par les applications qui y ont droit.

2/ Des pirates font actuellement du phishing autour d'iCoud pour récupérer les mots de passe : j'ai lu ça ces jours-ci.

3/ 1Password est inviolable, depuis toujours ; Safari ne stocke les mots de passe que depuis peu.

4/ C'est l'utilisateur qui décide s'il stocke les mots de passe, et où il les stocke : Safari ou/et 1P.

5/ On choisit la durée pendant laquelle on déverrouille 1P dans notre session : c'est une de ses Préférences.


1Password est éprouvé et fiable.
Safari et iCloud débutent : Apple fait ce qu'il peut pour sécuriser leur fonctionnement =
Identifiant Apple*: questions et réponses sur la vérification en deux étapes pour l?identifiant Apple
iPhone 5s : Touch ID déjà contourné | Macworld.fr

Et les usagers font ce qu'ils veulent, selon ce qu'ils ressentent…


Tu zappes FileVault et mot de passe du programme interne : la menace avérée et quotidienne est l'accès physique au Mac.

La première parade à l'accès distant est l'existence de mots passe variés : du bon sens contre une menace encore assez fantasmatique.

 

[Oxley]

OK !!!
Merci pour toutes ces précisions.
Bon week-end à tous.

---------- Nouveau message ajouté à 16h35 ---------- Le message précédent a été envoyé à 16h13 ----------

Re !
Je me permets toutefois de mettre un lien au sujet de la sécurité sur Mac.
Il semble que l'époque durant laquelle il n'y avait aucun risque à utiliser un Mac touche à sa fin !

Un antivirus sur Mac ?

See you soon on the moon...

 

[bompi]

IL y a pour le moment plutôt peu de risque côté applicatif, plus par désintérêt de la part des vilains qu'autre chose (enfin, disons aussi que le système est plutôt bien conçu).

C'est côté connexions qu'il convient d'être prudent (nécessité de pare-feux). Ainsi que les modules Java et Flash qui peuvent être des cochonneries multi-plates-formes.