Recommandations de sécurité pour vos comptes Ğ1
An english version is also available here.
Vous êtes responsable de la sécurité de votre compte membre Ğ1, si quelqu’un craque votre clé, non seulement vous perdrez toute votre monnaie, mais en plus cette personne pourra se faire passer pour vous et vous discréditer aux yeux de la communauté.
La sécurité de votre clé membre est extrêmement importante, au moins aussi importante que les clés de votre maison ou de votre voiture !
Il en va de même pour tous vos comptes Ğ1 non-membres.
Pour chacun de vos comptes Ğ1 vous devez choisir :
Une phrase de protection aussi nommée Identifiant secret
Un mot de passe.
Choisissez une phrase de protection Diceware
Diceware est un protocole conçu pour vous permettre de générer aléatoirement une phrase de protection très solide et simple à retenir.
Tout est expliqué dans ce pdf en français >> diceware-passphrase.pdf (201.8 KB)
Ne choisissez pas votre phrase de protection vous-même ! Aujourd’hui certains comportementalistes font des miracles et en recoupant de nombreuses informations sur vous, une agence gouvernementale, trouvera votre phrase de protection si elle le veut vraiment.
Le risque peut aussi se situer autour de vos proches, en qui vous avez confiance, l’un d’eux peut très bien deviner votre phrase de protection et vous trahir un jour, vous ne saurez même jamais qui c’est.
Pour générer une phrase de protection réellement aléatoire, vous aurez besoin de vrais dés. Si vous n’en avez pas, faites-vous en prêter. Et si vous n’avez pas d’amis, un jeu de cinq dés ne vous coûtera que 2,5 unités monnaie-dette en grande surface, c’est un investissement qui vaut vraiment le coup !
Choisissez ensuite le nombre de mots de votre phrase de protection, en fonction du niveau de sécurité souhaité :
— quatre mots peuvent être cassés par une centaine de PC,
— cinq mots ne peuvent être cassés que par une organisation disposant d’un large budget,
— six mots semblent être incassables dans le futur proche, mais pourraient être à la portée
du gouvernement d’un grand pays,
— sept mots sont incassables avec les technologies actuelles
— huit mots devraient être sûrs pour les temps à venir.
Et de préférence saisissez votre phrase de protection sur un clavier virtuel, (j’utilise florence), surtout si vous êtes sous Windows, de nombreux logiciels peuvent écouter toutes les saisies du clavier sans que vous le sachiez. Je soupçonne mycrosoft de le faire, on sait aussi que certains antivirus le font.
En revanche, enregistrer le flux vidéo de votre écran tout le long de la saisie de votre phrase de protection, cela sollicite beaucoup de ressources matérielles, ça ne passe donc pas inaperçu.
Tout est expliqué dans ce pdf en français, ça ne vous prendra pas plus de 10 min >> diceware-passphrase.pdf (201.8 KB)
Entraînez vous à saisir votre phrase de protection une dizaine de fois pour qu’elle se grave dans votre mémoire, puis détruisez le papier sur lequel vous l’avez notée, de préférence brûlez-le.
Sécurisez votre mot de passe
Pour chacun de vos comptes Ğ1, vous avez également besoin d’un mot de passe en plus de votre Phrase de Protection.
Par mesure de sécurité, vos mots de passe sensibles ne devrait jamais êtres affichés à l’écran, ni saisis au clavier.
Et le mot de passe de votre compte ğ1 EST sensible.
Je vous recommande de gérer le mot de passe de votre compte ğ1, ainsi que tout vos autres mots de passes d’ailleurs, avec un logiciel libre et sécurisé comme KeepassX.
Il vous permettra de générer aléatoirement des mots de passe que vous-même ne connaîtrez jamais, car vous ne ferez que les copier/coller sans jamais les afficher ni les saisir.
Votre base de donné KeePassX doit évidemment être protégée par une clé maître très solide, l’idéal est donc d’utiliser une phrase de protection DiceWare comme clé maître.
Vous pouvez tout à fait utiliser la même phrase de protection que pour votre compte Ğ1 comme clé maître KeePassX, mais dans ce cas, je vous recommande au minimum six mots et un caractère spécial pour qu’elle soit vraiment incassable.
Personnellement, j’utilise une phrase de protection de sept mots dont un caractère spécial, ainsi je pourrais la garder à vie, enfin au moins jusqu’à l’avènement des ordinateurs quantiques !
Un tutoriel vidéo sur KeepassX >> https://youtu.be/oPRqO8b3n1w
Téléchargez immédiatement votre document de révocation
Dés la création de votre compte, n’attendez pas de devenir membre, téléchargez immédiatement votre document de révocation. Voici la procédure a suivre pour Cesium puis pour Sakia :
Cesium
- Sur la page Mon Compte (ou My Account), cliquez sur le bouton OPTIONS
- Cliquez sur l’options avec un cadenas “Compte et sécurité”
3; Cliquez sur “Révocation” - Cliquez sur “Sauvegarder un fichier de revocation”
Voici les captures d’écran sur Cesium version anglaise, mais les icônes sont les mêmes et les menus au même endroit :
Sakia
Cela est très facile à faire sur Sakia, il vous suffit de faire un clic-droit sur votre identité et de cliquer sur “Save revokation ducument” (voir capture d’écran plus bas).
Ensuite, sauvegardez votre document de révocation sur deux supports externes différents (clés usb ou/et cartes mémoires ).
Gardez l’un des supports toujours sur vous, dans votre portefeuille par exemple, et cachez le deuxième support chez vous.
Comment modifier ma clé Ğ1 ?
La possibilité de modifier votre clé Ğ1, a condition de posséder encore l’accès à votre clé actuelle, n’a pas encore été intégrée à Duniter, mais cela est en projet 
En revanche, il n’est pas possible de réinitialiser votre clé en cas de perte de vos identifiants.
Votre clé Ğ1 est actuellement générée par l’Algorithme asymétrique ed25519.
Vous pouvez tout à fait changer de clé en gardant la même phrase de protection DiceWare, il vous suffit d’indiquer un mot de passe différent.
(cette partie sera mise à jour dès que la fonctionnalité sera disponible).
J’ai perdu ma phrase de protection ou/et mon mot de passe
Vous devez immédiatement révoquer votre compte grâce au document de révocation que vous êtes censé avoir télécharger lors de la création de votre compte. Vous ne pourrez pas récupérer la monnaie qui se trouvait sur votre compte, elle est définitivement perdue.
De plus, vous devez recréer un compte à partir de zéro et redemander toutes vos certifications pour redevenir membre. Vous ne créerez plus de Dividende Universel tant que vous ne serez pas redevenu membre.
Pour révoquer votre compte dans sakia, cliquez sur le menu à trois barres tout en haut à droite puis cliquez sur “Publish a revocation document” :
Protection du compte membre au quotidien
Les précautions d’usage sur l’identifiant secret et le mot de passe ont vocation à être appliquées en permanence.
Notamment et sans que ce soit exhaustif, les smartphones, les ordinateurs professionnels, les ordinateurs d’amis ou de proches, pour ne citer que ces exemples, sont susceptibles d’être compromis. Il est donc recommandé de ne jamais se connecter sur l’un des ces appareils avec son compte membre.
Pour toutes ces situations, à tout moment, vous pouvez créer un ou plusieurs compte non-membre que nous nommerons ici “portefeuille” (= couple identifiant secret / mot de passe). Certains clients utilisent le terme “simple portefeuille”. La monnaie peut-être envoyée sur l’un de ces portefeuilles et utilisée dans les contextes de faible sécurité.
Notez ces éléments supplémentaires :
- Ne tentez pas de publier une identité sur ces autres comptes, cela serait considéré comme une attaque contre la toile de confiance.
- Appliquez les mêmes précautions lors de la création de ces comptes portefeuille non-membres que lors de la création de votre compte membre.
- De préférence, générez votre couple (identifiant secret / mot de passe) hors-ligne sur un système live, le must étant de les générer sous forme de paperwallet EWIF.
- Ne versez pas toute la monnaie que vous possédez sur un unique compte portefeuille non-membre. Moins la sécurité d’un portefeuille est assurée, moins il devrait rester de monnaie dessus.
- Préférez donner comme adresse de paiement à vos contacts celle d’un compte portefeuille non-membre
- Il n’est jamais utile de reverser sur votre compte membre la monnaie qui vous a été versée sur un compte simple portefeuille non-membre.
- Une fois votre portefeuille utilisé pour effectuer un paiement depuis un environnement non sécurisé, considérez le comme compromis, videz l’argent restant vers un autre portefeuille et évitez de l’utiliser à nouveau
- Conservez précieusement les identifiants de vos comptes portefeuille. (Même une fois que vous pensez ne plus avoir à utiliser l’un d’entre eux)
- Ne faites jamais de transaction qui laisserait un compte portefeuille non-membre à un solde compris entre 0 et 1 Ğ1, la monnaie serait alors détruite.
Anonymat
Toutes les transactions sont publiques mais il n’est indiqué nulle part à qui appartiennent les comptes portefeuille non-membre. L’utilisation de comptes portefeuille non-membre pour payer et être payé est donc aussi un moyen de vous anonymiser partiellement.
Toutefois il peut être possible par étude de graphes des transactions et croisements d’informations de retrouver le propriétaire d’un portefeuille non-membre, pour éviter cela nous vous recommandons :
- De changer de compte portefeuille non-membre à chaque transaction.
- De ne jamais renvoyer la monnaie sur votre compte membre, envoyez la directement sur un autre portefeuille dont vous vous servirez pour effectuer un paiement.
- De ne pas divulguer dans les commentaires de transaction toute information qui pourrait permettre de faire un lien avec vous. Ou alors chiffrez votre commentaire (certains clients intégrerons prochainement cette fonctionnalité)
- ll est possible en écoutant le trafic réseau reçu par les nœuds duniter de savoir quelle IP à envoyé un document de transaction. Si vous souhaitez garantir votre anonymat, vous pouvez émettre votre transaction depuis le réseau TOR : https://librelois.fr/2017/05/08/utiliser-g1-anonymement-via-tor/
Vous voulez encore plus de sécurité ?
Pour une sécurité maximale, vous pouvez protéger votre base de données KeePassX par une double authentification : passphrase maître + fichier clé.
L’intérêt est que si quelqu’un vous extorque votre passphrase sous la contrainte, il ne pourra rien en faire car il lui faudra également votre fichier clé.
Pour que cela serve à quelque chose, votre fichier clé ne doit pas se trouver sur le même support que votre base de donnée, voici comment je procède personnellement :
Ma BDD KeePassX est stockée sur un nextcloud chiffré synchronisé avec tout mes appareils. j’ai donc une copie de ma BDD keepassx sur tout mes appareils (via le newcloud-client).
Mon fichier clé, ne se trouve sur aucun de mes appareils. Seulement sur des support externes (3 cartes micro SD différentes).
l’une est bien cachée chez moi,c’est celle que j’utilise à chaque fois que je veut ouvrir ma BDD KeePassX. Et les deux autres, qui contiennent une copie chiffrée en AES (par une passphrase DiceWare) chez deux amis de confiance qui ne se connaissent pas entre eux et qui n’ont aucune connaissance de l’objet de cette carte. le seul rôle de ces copies redondantes est de me permettre d’avoir toujours accès à ma BDD KeePassX si jamais ma 1ère carte ne fonctionne plus, ou si je la perd ou me la fait voler, ou si mon appart brûle, ou que sait-je encore…
Vous pourrez prendre toutes les précautions du monde, le risque zéro n’existe pas.
Suivre ces recommandations ne vous donne aucun garantie, cela diminue fortement la probabilité de vous faire dérober vos mots de passe, c’est tout.
), même si vous vous plaignez habituellement d’avoir une mauvaise mémoire, vous n’oublierez plus jamais vos identifiants, vous verrez !