"La souveraineté, ce n'est pas un slogan, c'est une promesse faite à des personnes précises" - Interview Heimlane Vault

Le gestionnaire de mots de passe français Heimlane Vault est bâti sur une architecture zéro connaissance, avec une segmentation cryptographique par coffre plutôt qu'un simple contrôle d'accès logiciel. Le service a récemment étoffé son offre avec le FIDO2, le TOTP intégré et l'accès d'urgence, et prépare un chiffrement par appareil de confiance pour la fin d'année.

Heimlane Vault s'était fait remarquer par sa pile cryptographique conforme aux recommandations de l'ANSSI. Son co-fondateur Laurent Gentil revient sur la segmentation cryptographique réelle par coffre, le chiffrement à venir par appareil de confiance, et le choix d'une distribution B2B exclusivement indirecte.

Heimlane, ça vient du vieux norrois pour « foyer » et de l'anglais pour « chemin ». D'où vous est venue l'idée de ce nom ?

Laurent Gentil : J'aime les noms qui ont un sens. Heimlane signifie “Le chemin vers le foyer”. Nous souhaitions un nom qui s’inscrive dans une culture européenne, tourné vers l’international, qui se prononce facilement dans la plupart des langues européennes, et qui évoque cette idée de “retrouver le chemin vers un endroit où l'on se sente bien, en sécurité”. C’est ce qu’on fait chez Heimlane : on offre à nos clients le moyen de se connecter de façon simple et sécurisée à ce qui leur appartient, leur univers, leurs serveurs, en quelque sorte "à leur foyer numérique".

Vous avez sorti un outil gratuit pour aider les gens à sortir de Google Authenticator, alors que ce n'est même pas votre produit principal. Pourquoi consacrer du temps à ça plutôt qu'à votre propre coffre-fort ?

L.G : Au contraire, c'est tout à fait du temps consacré à notre coffre-fort. Nos utilisateurs y stockent leurs données les plus sensibles, nos utilisateurs ne veulent pas seulement importer des identifiants et des mots de passe : ils veulent aussi récupérer leurs codes à usage unique, qui sont très souvent enfermés dans Google Authenticator. Grâce à cet outil, cet import est devenu quasi automatique dans Vault et enlève l’aspect laborieux de cette opération.

Quant à la publication de l'outil, elle s'inscrit dans la logique à laquelle nous croyons. Nous nous sommes appuyés sur un travail de rétro-ingénierie publié sous licence open source MIT pour développer notre fonction d'import. Redistribuer nos propres travaux sous cette même licence nous a paru une évidence, même si rien ne nous y obligeait. L’outil existe sous deux formes, autonome, et intégré à Heimlane Vault.

Le compte gratuit permet de stocker un nombre illimité d'éléments, sans demander de carte bancaire. Comment un modèle comme ça tient économiquement ?

L.G : Les offres françaises, voire européennes, réellement accessibles gratuitement à tout le monde sont très limitées. Il y avait un vide, que nous comblons désormais.

Nous avons conçu l'offre Heimlane dans sa globalité ; Vault existe sous deux formes : une offre autonome dédiée, et un connecteur qui permet à notre plateforme professionnelle Prism de s’appuyer sur lui pour la gestion des secrets.

Sur l’offre gratuite de Vault, le coût d'un utilisateur reste raisonnable. Notre infrastructure a été dimensionnée dès le départ pour la plateforme Prism dans son ensemble, et elle est conçue pour assurer sa montée en charge pour un grand nombre d’utilisateurs.

Nous opérons nos offres B2C sur un modèle « Freemium ». A ce titre, nous ne demandons pas de carte bancaire tout simplement car nous n’en avons pas besoin si notre client reste sur le forfait gratuit.

Si un utilisateur souhaite passer sur un forfait payant disposant de toute la puissance de notre offre avec les fonctionnalités avancées (Coffres partagés, accès d’urgence (« héritage numérique »), stockage de fichiers, etc.), il sera alors temps de la lui demander au moment de convertir le forfait vers l’option souhaitée.

D’une manière générale, notre ligne de conduite est : « moins nous avons de données sur nos clients, mieux c’est ». Notre modèle économique ne repose pas sur la collecte et l’analyse de données. Nous misons sur autre chose : un utilisateur satisfait, gratuit ou payant, en parle autour de lui. Ce bouche-à-oreille réduit mécaniquement ce que nous dépensons pour acquérir un client, et c’est ce qui rend le modèle vertueux.

Dans notre prise en main de mars, importer 1775 éléments avait pris quinze minutes. Vous avez retravaillé l'import en avril. Concrètement, qu'est-ce qui a changé pour quelqu'un qui veut quitter un autre gestionnaire ?

L.G : En mars, quand vous avez importé ces 1775 éléments, le temps requis était bien trop long. Nous avons repris le moteur d'import, qui traite désormais les éléments par paquets de 100 au lieu de le faire de manière séquentielle et unitaire. Aujourd'hui, vos 1775 éléments prennent environ 17 secondes (selon la rapidité de votre machine car tout est calculé dessus avant de nous être envoyé pour stockage : toujours le principe de zéro-connaissance).

Dans notre article de juillet, vous décriviez déjà FIDO2, le TOTP intégré et l'accès d'urgence comme déployés. Aujourd'hui, combien de vos clients pros utilisent vraiment une clé physique ? C'est adopté ou ça reste anecdotique ?

L.G : L'un de nos engagements est de ne pas exploiter les données de nos clients, télémétrie comprise. Nous ne produisons donc aucune statistique d'usage sur le type de second facteur utilisé. Nous ne construisons pas d'outillage pour observer nos utilisateurs et on le dit clairement dans nos conditions d'utilisation.

Ce que je peux vous dire, c'est que le support des clés physiques est de plus en plus demandé par les clients professionnels. Pour nos partenaires, c’est aussi un levier commercial : ils vendent souvent la clé physique en même temps que l’abonnement. Nous ne fournissons pas ces clés nous-mêmes, le client comme le partenaire restent libres de choisir leur fournisseur. C’est aussi cela l’indépendance.

Le TDE que vous annoncez pour le second semestre chiffre les données pour chaque appareil de confiance. Qu'est-ce qui se passe si je perds mon téléphone ou que j'en change ?

L.G : En un mot : rien. Vous définissez votre nouveau téléphone comme nouvel appareil de confiance pour retrouver l’ensemble du service.
Le chiffrement par appareil de confiance ne remplace pas la racine cryptographique, il ajoute une couche. Chaque appareil approuvé détient une clé qui lui est propre ; le mot de passe maître reste la racine de récupération et n'est jamais déposé chez nous.

Ainsi, si vous perdez votre téléphone : vous le révoquez depuis un autre appareil de confiance, ou l'administrateur le révoque pour vous dans le cas d'une organisation. La clé de cet appareil est invalidée, les autres continuent de fonctionner tout simplement.

Vous mettez en avant une segmentation cryptographique réelle par coffre, pas juste des droits d'accès logiciels. Vous avez un exemple concret où ça change vraiment le résultat en cas de piratage des serveurs ?

L.G : Le piratage des serveurs, la compromission totale, c'est le scénario spectaculaire, mais ce n'est pas le seul auquel cela répond et dans le contexte du "zéro-connaissance", on cherche à se prémunir contre "le serveur qui deviendrait lui-même hostile", et à raison. Il y a la faille applicative, celle qu'on ne voit pas venir, et l'utilisateur qui se retrouve avec une donnée qu'il n'aurait jamais dû recevoir. Dans les trois cas, la vraie question est la même : quand la donnée sort, est-elle lisible ?

Avec un contrôle d'accès purement logiciel, c'est l'application qui décide qui voit quoi. Tant qu'elle ne se trompe pas, tout va bien. Mais si un attaquant contourne cette vérification, par un bug, une faille ou un compte détourné, l'application lui envoie les données. Et si ces données sont chiffrées avec une clé que le serveur détient, elles sont exploitables immédiatement. Le contrôle d'accès était la seule barrière, et elle a sauté.

Pensez à un immeuble de bureaux. Le contrôle d'accès logiciel, c'est le badge à l'entrée : une fois dedans, tout est ouvert. La segmentation cryptographique, c'est un coffre-fort dans chaque bureau, avec une clé que seul son occupant possède. Entrer dans l'immeuble ne donne rien.

Concrètement, chez nous, chaque coffre partagé a sa propre clé de chiffrement (AES-256). Cette clé n'existe sur nos serveurs que sous forme chiffrée, individuellement, avec la clé publique de chaque membre autorisé (RSA-2048). Seul le membre, sur son appareil, avec son mot de passe maître, peut la déverrouiller. Nous-mêmes n'avons à aucun moment de quoi ouvrir un coffre.

Résultat : un attaquant qui copie l'intégralité de nos serveurs repart avec des coffres fermés, sans les clés. Un compte utilisateur compromis n'expose que les coffres auxquels cet utilisateur avait réellement accès, pas les autres coffres individuels ou partagés. Une faille applicative qui ferait fuir un coffre à la mauvaise personne lui donnerait un bloc illisible.

C'est la différence entre des droits logiciels et un cloisonnement réel. Dans un cas, on empêche l'accès. Dans l'autre, on rend l'accès inutile : avoir la donnée entre les mains ne suffit pas à la lire.

Vous dites être conforme aux recommandations ANSSI. C'est une vraie certification, genre CSPN ou SecNumCloud, ou c'est vous qui l'affirmez sur la base de votre propre pile technique ?

L.G : Nous développons nos solutions dans les règles de l'art. Cela inclut les recommandations des agences, dont l'ANSSI, mais aussi l'OWASP par exemple. Nous n'avons pas engagé à ce jour de démarche de certification, mais nous opérons sur la base de ces référentiels pour le jour où nous le ferons.

SecNumCloud n’est pas quelque chose que nous prévoyons pour le moment.

Vous réfléchissez à héberger aussi au Royaume-Uni, en plus de la France et de l'Allemagne. Ça ne vient pas un peu contredire votre discours sur la souveraineté européenne ?

L.G : Non, parce que la souveraineté, ce n'est pas un slogan, c'est une promesse faite à des personnes précises :

Offrir aux Européens, membres de l’UE des solutions conçues, hébergées, et opérées en Union européenne est notre engagement fort. Cela n’est pas remis en cause.

À l’inverse, nous ne souhaitons pas imposer à des Britanniques l’obligation d’héberger leurs données en UE, et donc leur permettre à l’avenir d’avoir un hébergement au Royaume-Uni nous semble tout aussi important pour eux.

D’une manière générale, à l’avenir, nos clients auront le choix de la région d’hébergement au moment de la création de leur compte.

Heimlane est une société française, sans entité hors de l’UE et sans dépendance à un cloud provider quel qu’il soit.

Ce qui compte et ce à quoi nous tenons en revanche, c'est que nos utilisateurs européens conservent la garantie que leurs données restent dans l'UE et ne soient pas répliquées au Royaume-Uni, et réciproquement. La relation commerciale reste dans tous les cas régie par le droit français.

Vous vendez maintenant uniquement en indirect, via des partenaires comme Feeder, et vous dites que c'est même verrouillé techniquement dans le produit. Qu'est-ce qui arrive aux gens qui utilisent Vault gratuitement ? Ils sont toujours dans vos plans, ou juste là pour la vitrine ?

L.G : Le verrouillage technique ne porte que sur les offres B2B et la plateforme Prism, cela ne concerne donc pas les offres Vault B2C.

Les offres B2B, forfaits et produits professionnels (Vault Teams, Vault Business, Realm) passent obligatoirement par un distributeur puis un partenaire, et le produit ne fonctionne pas en dehors de ce contexte. Il n'y a pas de bouton « vente directe », même désactivé. C'est un choix assumé, et une loyauté affichée vis-à-vis de nos partenaires.

Les offres grand public en B2C, elles, ont toujours été et restent en direct. Notre accord de distribution avec Feeder n’a rien modifié à cela.
Nos utilisateurs gratuits ne sont pas « juste une vitrine ». Nous sommes persuadés qu’il y a un manque les concernant sur le marché et nous sommes là pour le combler, pour les utilisateurs qui le souhaitent. Ils bénéficient exactement du même produit, de la même infrastructure, des mêmes sécurités, et de la même architecture cryptographique que les clients professionnels. C'est d'ailleurs ce qui rend notre engagement crédible : un double discours serait une promesse à deux vitesses, et une promesse à deux vitesses n'en est pas une.

Votre accord avec Feeder prévoit une extension au Maroc, au Sénégal et au Moyen-Orient via sa présence à Dubaï. Comment ça colle avec votre image de solution souveraine très centrée France-Allemagne ?

L.G : Cela ne change rien à notre mode opératoire, cela concerne notre développement économique à l’International.

Les clients de la zone MEA sont friands de solutions de cybersécurité européennes. Heimlane est une société européenne, et la distribution de nos solutions par des entités locales qui composent notre réseau de partenaires est un modèle classique pour un Editeur, quel que soit le pays de commercialisation.

Nous commercialisons partout sur ce modèle : les données restent dans la région sur laquelle le compte du client est créé, aujourd’hui en France et en Allemagne, et nos CGUV mentionnent explicitement le droit français comme seul droit régissant nos relations commerciales.

Des lecteurs s'inquiétaient de la pérennité de la boîte, l'histoire du « gus dans un garage ». Aujourd'hui vous êtes combien dans l'équipe, vous avez levé des fonds, et qu'est-ce que vous répondez à un DSI qui doit vous faire confiance sur plusieurs années ?

L.G : Heimlane est une jeune start-up qui ne cherche pas à faire croître son effectif à tout prix, et nous opérons sur nos fonds propres. Nous sommes deux cofondateurs entourés de prestataires que nous choisissons avec soin. La vraie question derrière l’effectif, c’est la pérennité de l’offre, et à cette question la taille de l’équipe est une mauvaise réponse ; ce qui compte vraiment, c’est la compétence, la stabilité des personnes et surtout la réversibilité.

J’ai travaillé et accompagné des organisations de plusieurs centaines ou milliers de personnes. Il n’est pas rare que les équipes R&D allouées à un produit ne soient composées que d’une, deux ou trois personnes (pas toujours à temps complet) pour des volumes de ventes à 6 ou 7 chiffres.

Nos offres s’appuient sur des standards éprouvés. Heimlane Vault permet d’exporter ses données à tout moment, dans un format compatible Bitwarden. Vous pouvez donc les réimporter ailleurs sans nous demander quoi que ce soit. C’est la réversibilité que nous devons à nos clients, nous ne les enfermons pas dans notre solution.

Pour nos offres, elles sont disponibles sans engagement avec possibilité d’abonnement mensuel (B2C et B2B).

C’est notre meilleure garantie, si nos offres ne vous conviennent plus pour une raison qui n’appartient qu’à vous, vous êtes libre de nous quitter rapidement. C’est aussi ça la réversibilité.

Enfin, nous ne commercialisons pas nos offres B2B autrement que via notre réseau de partenaires. Cela signifie que derrière une offre Heimlane, il n’y a pas qu’une start-up, il y a un écosystème auquel notre client fait déjà confiance. C’est un gage important.