Novaz Authenticator est-il sûr ?

Cette page décrit la version 1.0.5 de l’application, vérifiée à partir de son code. Quand un point change, nous mettons à jour la page et la date ci-dessus. La façon dont l’application et ce site traitent vos informations est décrite dans la Politique de confidentialité.

Où sont stockées vos clés de configuration

Chaque compte que vous ajoutez possède une clé de configuration, le secret à partir duquel vos codes sont calculés. Novaz stocke les clés dans le trousseau de l’iPhone, avec la classe de protection AfterFirstUnlockThisDeviceOnly. Concrètement :

• Cet appareil uniquement. La copie principale de vos clés n’est pas synchronisée par le trousseau iCloud. Elle n’est pas transférée par Démarrage rapide ni par la restauration d’une sauvegarde d’iPhone sur un autre iPhone. Pour emporter vos comptes sur un nouvel iPhone, utilisez l’une des sauvegardes facultatives ci-dessous. Consultez Comment transférer votre application d’authentification sur un nouvel iPhone.
• Après le premier déverrouillage. Après un redémarrage, les clés ne peuvent pas être lues tant que vous n’avez pas déverrouillé l’iPhone une première fois. Contrairement aux éléments marqués « si un code est défini », les clés sont aussi conservées si vous désactivez le code de votre iPhone.
• Pas sur nos serveurs. Il n’y a ni compte Novaz ni serveur qui détienne vos clés. Nous ne pourrions pas voir vos clés ou vos codes, même si nous le voulions.

Les réglages de l’application, comme le style du compte à rebours ou l’activation du verrouillage de l’app, sont eux aussi stockés sur l’appareil.

Sauvegardes (facultatives)

Rien ne quitte votre iPhone, sauf si vous activez l’une de ces options, sous Sauvegarde dans Réglages :

• Sauvegarde iCloud (PRO). Novaz enregistre une copie de vos comptes comme élément distinct dans le trousseau iCloud, qu’Apple chiffre de bout en bout et synchronise avec vos appareils connectés au même identifiant Apple. Le trousseau iCloud doit être activé. Sur un nouvel iPhone, l’écran Codes vide propose Restaurer depuis iCloud. La restauration fonctionne aussi dans la version gratuite. Désactiver la sauvegarde iCloud supprime cette copie d’iCloud sur tous vos appareils. Les codes de votre iPhone sont conservés.
• Fichier de sauvegarde (gratuit). Exporter dans un fichier… enregistre vos comptes dans un fichier chiffré avec un mot de passe de votre choix, d’au moins 8 caractères. Le fichier est chiffré en AES-256-GCM, avec une clé dérivée de votre mot de passe par PBKDF2-HMAC-SHA256 et 600 000 itérations. Vous choisissez où va le fichier, par exemple Fichiers ou AirDrop. Importer depuis un fichier… le relit une fois le mot de passe saisi. Nous ne pouvons ni ouvrir le fichier ni récupérer le mot de passe.

Apple Watch, widgets et remplissage automatique (facultatifs, PRO)

Ces options restent désactivées tant que vous ne les activez pas dans Réglages. Chacune transmet vos codes à une autre partie du système :

• Afficher les codes sur l’Apple Watch envoie vos comptes à Authenticator sur votre Apple Watch jumelée, où ils sont stockés dans le trousseau de la montre et protégés par son code.
• Afficher les codes dans les widgets écrit vos comptes dans un élément du trousseau partagé avec les widgets de l’application, marqué « cet appareil uniquement ». Les codes des widgets sont visibles sans déverrouiller l’application. Sur l’écran verrouillé, ils restent masqués jusqu’à ce que vous déverrouilliez votre iPhone.
• Remplir les codes automatiquement permet à iOS de proposer vos codes quand un site web ou une app en demande un. Si le verrouillage de l’app est activé, Novaz demande Face ID ou votre code avant de remplir un code.

Désactiver l’une de ces options supprime la copie qu’elle utilisait.

Comment les codes sont générés

Les codes sont calculés sur votre iPhone avec l’algorithme standard de mot de passe à usage unique basé sur le temps (TOTP, RFC 6238). Le HMAC provient de CryptoKit d’Apple. Novaz prend en charge :

• SHA-1, SHA-256 et SHA-512,
• des codes de 6 à 8 chiffres,
• des intervalles de 1 à 300 secondes.

Les liens de configuration qui demandent des valeurs hors de ces plages sont refusés au lieu d’être enregistrés. Les codes basés sur un compteur (HOTP) et MD5 ne sont pas pris en charge.

Verrouillage de l’app

Le verrouillage de l’app est facultatif. Novaz le propose à la première ouverture de l’application. Par la suite, vous pouvez l’activer avec Verrouiller l’app sous Sécurité dans Réglages, et choisir la méthode sous Déverrouiller avec.

• Face ID ou Touch ID s’appuie sur le framework LocalAuthentication d’Apple. Novaz ne voit jamais les données de votre visage ou de votre empreinte digitale, seulement si la vérification a réussi. Sans code de l’app, le code de votre iPhone sert de solution de repli. Si vous définissez un code de l’app à six chiffres, c’est lui qui devient la solution de repli.
• Le code de l’app à six chiffres n’est jamais stocké. Novaz en conserve un hachage PBKDF2-HMAC-SHA256, avec un sel aléatoire et 100 000 itérations, dans le trousseau de cet appareil. Ce hachage lent rend coûteux le fait de deviner le code à partir d’une copie de cet élément.
• Les codes erronés déclenchent des délais d’attente de plus en plus longs : 30 secondes après la cinquième tentative erronée, puis 1 minute, 5 minutes, 15 minutes, et 1 heure à partir de la neuvième tentative. Le nombre de tentatives est stocké dans le trousseau : fermer l’application ne le remet donc pas à zéro.
• Exiger le déverrouillage. Dans Réglages, choisissez Immédiatement, Après 1 minute ou Après 5 minutes : le temps pendant lequel vous pouvez quitter l’application avant qu’elle ne se verrouille de nouveau.
• Code oublié. Novaz ne stocke jamais le code lui-même : elle ne peut donc ni vous l’afficher ni l’envoyer où que ce soit. Si vous utilisez Face ID avec le code comme solution de repli, Face ID ouvre toujours l’application.
• Sélecteur d’apps. Quand l’application passe en arrière-plan, son écran est masqué : les codes n’apparaissent donc pas dans le sélecteur d’apps.
• Masquer les codes jusqu’au toucher. Quand cette option est activée (sous Sécurité dans Réglages), les codes s’affichent sous forme de points jusqu’à ce que vous les touchiez, et sont de nouveau masqués quand vous quittez l’application.

Le presse-papiers

Quand vous copiez un code, Novaz le place dans le presse-papiers avec deux restrictions :

• il expire quand le code n’est plus valide, et
• il reste local, si bien que le presse-papiers universel ne l’envoie pas à vos autres appareils Apple.

Appareil photo et photos

• Appareil photo. L’appareil photo n’est utilisé que lorsque l’écran Scanner le QR code est ouvert, pour lire les codes QR de configuration. Rien n’est enregistré ni conservé.
• Photos. Novaz ne demande pas l’accès à votre photothèque. Quand vous choisissez une capture d’écran, le sélecteur de photos d’iOS ne transmet à l’application que cette image. L’application en lit le code QR et ne conserve rien d’autre.

Requêtes réseau effectuées par l’application

Novaz fonctionne hors ligne. Les codes n’ont pas besoin de connexion. Lorsqu’elle est en ligne, l’application effectue les requêtes suivantes :

L’application ne contient aucun SDK d’analyse, de publicité ou de pistage. Son étiquette de confidentialité sur l’App Store indique « Données non collectées ».

Ce contre quoi Novaz ne peut pas vous protéger

Connaître clairement les limites vous aide à décider comment utiliser l’application :

• Perdre votre iPhone sans aucune sauvegarde. Les clés ne nous sont jamais envoyées : nous n’avons donc rien à restaurer. Activez la sauvegarde iCloud ou conservez un fichier de sauvegarde, et gardez aussi les codes de secours de chaque service à un autre endroit.
• Un mot de passe de sauvegarde faible. Toute personne qui possède votre fichier de sauvegarde et devine son mot de passe peut lire vos clés. Utilisez un mot de passe long que vous n’utilisez nulle part ailleurs.
• Une personne capable de déverrouiller votre iPhone. Si le verrouillage de l’app est désactivé, elle peut ouvrir l’application et lire vos codes. Le verrouillage de l’app empêche un coup d’œil rapide, mais il ne remplace pas un code d’iPhone que vous êtes seul à connaître.
• Un appareil compromis. Sur un iPhone jailbreaké, ou sur un iPhone où un logiciel malveillant dispose d’un accès au système, aucune application ne peut garantir la confidentialité de ses données.
• L’hameçonnage. Une fausse page de connexion peut vous demander votre code actuel et l’utiliser immédiatement. Vérifiez toujours que vous êtes sur le vrai site web avant de saisir un code.

Signaler un problème de sécurité

Si vous pensez avoir trouvé une vulnérabilité dans l’application ou sur ce site, écrivez à support@novaz.app en indiquant « Sécurité » dans l’objet. Merci de nous laisser le temps de la corriger avant d’en publier les détails. Notre fichier security.txt indique le même contact.