Comment mes notes sont-elles chiffrées ?
- À la création du coffre, Protect text génère une clé de données aléatoire de 256 bits.
- Chaque note (titre, texte, couleur, épingle) est chiffrée avec cette clé en AES-256-GCM, avec un nouveau nonce aléatoire à chaque enregistrement. GCM détecte aussi toute modification des données stockées.
- La clé de données n'est stockée que chiffrée : une fois avec une clé dérivée de votre mot de passe (PBKDF2-SHA-256, 600 000 itérations, sel aléatoire) et une fois avec une clé dérivée de votre clé de récupération (environ 125 bits d'aléatoire, 200 000 itérations).
- Tout cela est réalisé par Web Crypto, intégré au navigateur. Protect text n'embarque aucun code cryptographique qui lui soit propre.
Changer de mot de passe rechiffre seulement la clé de données ; les notes n'ont pas besoin d'être rechiffrées.
Où se trouve la clé pendant que je travaille ?
Quand vous déverrouillez le coffre, la clé de données est gardée dans le stockage de session de l'extension de Chrome, qui vit en mémoire et n'est jamais écrit sur le disque. Elle est effacée quand le coffre se verrouille (après le délai choisi, quand l'ordinateur se verrouille ou se met en veille, ou avec le bouton cadenas) et à la fermeture du navigateur.
L'extension peut-elle envoyer mes notes quelque part ?
Non. La politique de sécurité du contenu interdit toute connexion réseau (connect-src 'none'), et
l'extension ne demande l'accès à aucun site web. Il n'y a ni serveur Cresotech, ni outil d'analyse,
ni compte. C'est Chrome qui met à jour l'extension depuis le Chrome Web Store, comme pour toutes
les extensions.
Quelles autorisations demande-t-elle, et pourquoi ?
| Autorisation | Pourquoi Protect text en a besoin |
|---|---|
storage | garder vos notes chiffrées et vos réglages sur votre ordinateur |
unlimitedStorage | permettre à un gros bloc-notes de dépasser le quota de stockage par défaut de Chrome |
sidePanel | ouvrir le bloc-notes dans le panneau latéral de Chrome |
contextMenus | ajouter Ajouter à Protect Text et Enregistrer cette page dans Protect Text au menu du clic droit |
alarms | verrouiller le coffre après le délai choisi |
idle | verrouiller le coffre quand votre ordinateur se verrouille ou se met en veille |
À l'installation, Chrome n'affiche aucun avertissement sur la lecture de vos données sur les sites web, car Protect text n'en demande aucune.
Ce que Protect text ne peut pas protéger
Le chiffrement protège les notes stockées. Pour le reste, soyez lucide :
- Un coffre ouvert. Tant qu'il n'est pas verrouillé, toute personne devant votre ordinateur peut le lire. Choisissez un délai de verrouillage court sur un ordinateur partagé et cliquez sur le bouton cadenas quand vous partez.
- Les logiciels malveillants. Un enregistreur de frappe ou un programme malveillant sur votre ordinateur peut voir ce que vous tapez et ce qui s'affiche à l'écran. Aucun bloc-notes ne protège contre cela ; gardez votre système à jour.
- Les mots de passe faibles. Si quelqu'un copie les données chiffrées, un mot de passe court ou courant peut être deviné hors ligne. Utilisez une longue phrase de passe ; le générateur intégré vous y aide.
- Les copies en clair. Une note téléchargée en .txt, imprimée ou copiée ailleurs n'est plus chiffrée. Le presse-papiers est vidé 30 secondes après la copie d'un texte masqué, mais les autres copies sont sous votre responsabilité.
- Le texte masqué floute le texte à l'écran. C'est un écran de confidentialité, pas un chiffrement supplémentaire.
- La perte des deux secrets. Sans le mot de passe ni la clé de récupération, les notes sont perdues pour de bon. Personne, pas même Cresotech, n'a de porte dérobée.
Le fichier de sauvegarde est-il sûr ?
Oui : il contient les notes sous forme chiffrée et la clé chiffrée, exactement comme sur votre ordinateur. Sans votre mot de passe ni votre clé de récupération, il est illisible. Rangez-le tout de même dans un endroit privé, et gardez en tête qu'une ancienne sauvegarde s'ouvre avec le mot de passe valable au moment où vous l'avez créée.
Comment tout supprimer ?
Supprimez les notes et videz la corbeille, ou supprimez Protect text de Chrome : son stockage est effacé avec elle. Les fichiers de sauvegarde que vous avez enregistrés vous-même ne sont pas touchés ; supprimez-les comme n'importe quel autre fichier.
Plus de détails : politique de confidentialité de Protect text.