Locknest : le gestionnaire physique de votre identité numérique

L’histoire de Locknest en quelques lignes Les protagonistes : Pierre, 44 ans, ex-manager d’équipe de développement en cybersécurité chez Stormshield, actuel président de LockNest Group. Robert, 41 ans, ex-lead développeur chez Arm LTD, actuel directeur technique de LockNest Group. Marie, 38 ans, ex-développeur front-end chez Dassault Systèmes, actuelle directrice de produit technique de LockNest Group. L’Internet mondial, la trentaine, première source d’information et de désinformation. Le 3 décembre 2020, à Issy-Les-Moulineaux : Pierre@L’internetMondial : J’aimerais bien pouvoir stocker mes mots de passe dans une clé et les distribuer facilement vers mon mobile ou mon PC, histoire de ne rien laisser traîner sur le Web. L’internetMondial@Pierre : Il existe des dizaines de solutions pour stocker vos mots de passe dans le Cloud, et les distribuer facilement. Pierre@L’internetMondial : Ok, mais je voudrais éviter de laisser toutes ces informations sensibles sur le Web, est-ce possible de les stocker sur un équipement physique ? L’internetMondial@Pierre : Bien sûr, mais dans ce cas il faudra à chaque fois les copier-coller ou les recopier à la main dans toutes les applications, sites web et autres formulaires. Pierre@L’internetMondial : Je ne peux pas avoir les deux : stockés physiquement et disponibles automatiquement ? L’internetMondial@Pierre : Il semblerait qu'il n'y ait aucun résultat pertinent associé à votre recherche. Plus tard, en visio-conférence Issy-Les-Moulineaux/Cambridge/Boulogne-Billancourt : Pierre@Robert+Marie : L’Internet mondial dit que ça n’existe pas, vous pensez qu’on peut le faire, nous ? Robert+Marie@Pierre : Théoriquement oui, on va tester et si on tombe sur un mur, on arrête. Le 11 novembre 2021 : Robert+Marie@Pierre : Y a pas eu de mur… qu’est-ce qu’on fait, on démissionne et on monte une boîte ? Le 25 mai 2022 : Pierre+Robert+Marie@INSEE+URSSAF : L’entreprise LockNest Group est née ! Le 16 février 2023 : LockNestGroup@KissKissBankBankers : La campagne de financement participatif est ouverte ! Depuis la création de l’entreprise, nous consacrons 100% de notre temps à concrétiser notre produit : le prototype fonctionne, le firmware et les interfaces sont en cours de développement, mais nous avons besoin de vous pour mener à bien notre projet. Si, vous aussi, vous refusez de stocker vos mots de passe sur le Cloud mais souhaitez y accéder facilement : soutenez-nous ! Locknest, c’est quoi ? Locknest est un gestionnaire physique d’identité numérique. Concrètement, ça veut dire qu’au lieu de stocker vos identifiants et mots de passe dans votre navigateur ou sur votre mobile, vous les confiez à votre Locknest. Ce que ça change ? Vous limitez votre surface d’attaque à cette seule clé, extrêmement robuste. Sous la forme d’un boîtier qui tient dans la paume de la main, Locknest est dédié à la protection des données confidentielles, c’est-à-dire que nous garantissons le chiffrement de vos données critiques de bout en bout, jusqu’à ce que vous récupériez votre mot de passe, automatiquement, dans le champ du formulaire à remplir. Et, rassurez-vous, Locknest est très facile à utiliser : il suffit d’ouvrir votre navigateur Chrome pour aller sur notre application web, de connecter votre Locknest en USB ou en Bluetooth et c’est parti ! Pour remplir automatiquement vos formulaires web, vous pouvez utiliser notre extension Chrome ou passer par l’application mobile Android : Locknest pourra ainsi remplir les formulaires web avec les informations que vous lui aurez préalablement confiées. Comment ça marche, concrètement ? Toutes les fonctionnalités ne sont pas encore développées, et c’est d’ailleurs en partie pour cela qu’on a besoin de vous ! Mais lorsque vous recevrez votre Locknest, voici comment vous pourrez vous en servir : Pour accéder à l’interface de votre Locknest, vous pourrez utiliser l’application web, sur le navigateur Chrome, ou l’application mobile Android téléchargeable sur le Play Store. Connecter son Locknest : Mise en route : La première fois que vous démarrerez votre Locknest, vous pourrez lui donner un nom puis vous devrez définir votre secret maître. Le secret maître, c’est le mot de passe unique que vous devrez retenir pour accéder à votre Locknest. Pour garantir la confidentialité de vos données, nous ne pourrons jamais y avoir accès : il est donc impératif que vous ne l’oubliiez pas ! Mais pas d’inquiétude, il se compose seulement de 7 chiffres. Pour en savoir plus, rendez-vous dans la section Notre promesse de sécurité, un peu plus bas dans la page. Au quotidien : Vous pourrez accéder au tableau de bord de l’application web ou de l’application mobile Android pour ajouter, supprimer ou modifier une entrée. Vous pourrez également vous servir du remplissage automatique des formulaires grâce à l’extension Chrome sur PC ou à la saisie automatique sur mobile Android. La version MVP de Locknest : disponible en précommande Chez Locknest, nous sommes adeptes de la méthodologie Lean : notre but est de créer un produit adapté aux besoins de ses utilisateurs. Dans cette optique, nous proposons aujourd’hui en précommande la version MVP (Minimum Viable Product en anglais ou Produit Minimum Viable) de Locknest. Voici toutes les fonctionnalités de cette première version : Après le MVP : l’évolution de Locknest Prioriser n’est pas chose aisée ! Mais comme nous tenons à proposer une première version avant d’aller plus loin, nous avons déjà en tête la suite des événements. Voici la liste de fonctionnalités à venir, leur degré de priorité étant sujet aux retours de nos premiers utilisateurs et de leurs besoins : Sauvegarde des données possible sur un serveur sécurisé, privé et français : en souscrivant un abonnement à notre service en ligne, vous pourrez régulièrement faire des sauvegardes de vos données. Attention : il s’agit bien ici d’une sauvegarde et non d’une utilisation des données à chaud. Pour faire simple : le fonctionnement de Locknest ne changera pas, ce sera toujours la clé qui distribuera vos données, jamais votre sauvegarde directement. Le niveau de protection ne change pas non plus : nous n’aurons jamais accès à vos données en clair. La différence est que vous pourrez créer une copie de cette base locale, qui sera chiffrée deux fois, et la stocker sur un serveur sécurisé pour pouvoir la récupérer en cas de problème. Support des plateformes iOS et macOS. Support des principaux navigateurs non basés sur Chromium. Création d’un accès « invité » pour partager vos mots de passe en toute sécurité. Création d’une gamme de Locknest avec un espace de stockage plus grand. Possibilité d’enregistrer d’autres types de données : cartes bancaires, cartes d’identité, adresses… Support du 2FA/MFA avec l'implémentation des algorithmes TOTP et HOTP de génération de codes à usage unique (OTP). Implémentation du support du standard FIDO2 (U2F) permettant une authentification sans mot de passe ("passwordless"). Désactivation possible de la connectivité Bluetooth. Ajout de filtres et de dossiers dans le tableau de bord de l’application pour trier les entrées. Possibilité d’associer plusieurs Locknest au principal. Mise à jour du Locknest secondaire par simple pression longue sur le bouton d’action du principal et du secondaire. Gestion plus fine de l’import de données pour ne pas écraser à chaque fois la base. Nettoyage manuel de la base, recherche de doublons. Gestion du multi-session : pouvoir avoir deux sessions en parallèle, sur mobile et sur PC par exemple. Création d’une « white list » d’appareils privilégiés pour se connecter en Bluetooth. Ajout d’une option de recherche par expression régulière dans le champ de recherche du tableau de bord de l’application. Ajout de vidéos tutorielles pour accompagner l’utilisateur et ajout d’un onboarding plus complet. Deux versions du boîtier Pour ne rien vous cacher, on a commencé par dessiner notre boîtier entièrement sur mesure (et on en est fiers !) : Mais la réalité financière nous a rattrapés : la production d’un tel boîtier nécessite la conception et l’usinage de moules métalliques pour injection plastique et représente un investissement financier conséquent : au minimum 20 500€. Et nous devrons les produire par 500 unités au minimum. Voilà pourquoi nous avons créé une autre version, basée sur un boîtier générique, notre V1 : Si, grâce à vous, nous atteignons 175% de notre objectif, soit 35 000€, nous pourrons alors sauter cette première étape pour produire directement notre boîtier sur mesure, et ce pour toutes les précommandes ! En revanche, si les boîtiers sont différents, ce sont bien les mêmes fonctionnalités qui sont proposées et les mêmes composants à l’intérieur : Notre promesse de sécurité Quels sont les éléments techniques qui font de Locknest une solution sécurisée ? Ce module est validé selon les tests statistiques AIS-31 du BSI Allemand (Office fédéral de la sécurité des technologies de l'information en Allemagne). Il garantit une entropie élevée lors de la génération des graines aléatoires. Cela permet notamment de construire un DRBG (Deterministic Random Bit Generator) conforme aux normes SP 800-90 du NIST, l’Institut américain des normes de la technologie. Ce module supporte les clés allant jusqu’à 256 bits et offre une multitude de modes. Ce module permet une accélération des opérations RSA/DH/ECC. La combinaison de ces trois éléments offre le meilleur compromis entre robustesse aux attaques et vitesse de calcul. Comment Locknest peut être sécurisé avec un secret maître de seulement 7 chiffres ? Afin de répondre à nos propres exigences de sécurité et de simplicité, nous avons étudié les différents scénarios d’attaque selon leur plausibilité et cherché ce qui se faisait de mieux pour mitiger et/ou limiter ces attaques. Le PIN de 7 chiffres fait partie de notre réponse, voici pourquoi : Concernant la solution de stockage sécurisé à froid que nous proposerons en fin d’année : les données seront évidemment stockées sur des serveurs sécurisés, à jour, à accès limité et monitorés. Nous prévoyons deux chiffrements supplémentaires, en plus du chiffrement natif du Locknest : un premier fait par le boîtier, dont seul le propriétaire connaîtra la clé de déchiffrement, et un second pour le stockage, dont seul LockNest Group connaîtra la clé. Comme pour les premiers scénarios, nous sélectionnerons ces chiffrements parmi les recommandations des organismes compétents en la matière afin de garantir la sécurité maximale. Pourquoi Locknest est plus sécurisé que les gestionnaires de mots de passe standards en ligne ? Tout d’abord, le simple fait de stocker vos données physiquement dans un objet indépendant élimine une grande partie de la vulnérabilité : réduire le nombre de portes d’entrée, aussi verrouillées soient-elles, reste le plus efficace ! Surtout quand la plupart sont quasiment ouvertes… De plus, avec une base de données en ligne, à chaque fois qu’une requête est faite pour récupérer une de vos données, celle-ci va transiter sur le Web. Bien sûr, le chiffrement les protège, mais comme dit l’adage : il suffit d’une fois. Au lieu d'être en permanence sur Internet, avec Locknest, vos données ne transitent sur le Web qu’en toute fin de parcours : la communication entre la clé et l’application web ou mobile se fait en Bluetooth ou en USB. Sur mobile, le remplissage automatique est géré directement par votre smartphone Android. Et sur PC, c’est seulement via l’extension Chrome, qui utilise le protocole HTTPS, que vos données (et uniquement celles dont vous avez besoin pour remplir le formulaire) finissent leur trajet sur le Web. Notre promesse de simplicité Pourquoi acheter un Locknest si Chrome et Android retiennent déjà les mots de passe pour vous ? D’abord pour la sécurité : il n’y a rien de mieux qu’une solution dédiée dont vous connaissez le fonctionnement. Rien de nébuleux chez nous : vos informations d’authentification sont stockées dans votre clé, vous (et vous seul !) y accédez ensuite depuis notre application web ou mobile. Et pour remplir automatiquement les formulaires, vous utilisez notre extension Chrome ou la fonction saisie automatique de votre mobile Android. Il n’y a pas de synchronisation à faire entre PC et mobile donc, puisque c’est la clé qui est au centre du système. Vous ne perdez aucune donnée en passant d’un appareil à un autre et savez en permanence où sont vos informations. Notre clé est robuste et c’est l’unique détenteur de vos secrets, vous êtes donc mieux protégé qu’avec une multiplicité de solutions dont la vulnérabilité d’une seule peut exposer toute la chaîne. Comment éviter de se retrouver démuni en cas de perte du Locknest ? Perdre ses clés, ça arrive. C’est pour cela qu’on fait des doubles. C’est la même chose pour votre Locknest : en achetant deux clés, vous pourrez très simplement sauvegarder les données de votre Locknest principal sur votre Locknest secondaire. Ce deuxième Locknest, ainsi synchronisé, vous assure de ne jamais perdre vos données. Dans un second temps, un abonnement de sauvegarde en ligne sera proposé. Si cette fonctionnalité vous intéresse particulièrement, n’hésitez pas à nous le faire savoir dans les commentaires ! Le développement de notre produit est tourné vers l’utilisateur, nous sommes donc toujours ravis d’avoir vos retours.