AxKeyStore

Qu’est-ce qu’AxKeyStore ?

AxKeyStore est un outil en ligne de commande (CLI) open source sécurisé pour gérer secrets, clés et mots de passe. Son objectif principal est de vous permettre d’utiliser votre dépôt GitHub privé comme stockage chiffré, en considérant GitHub comme un stockage non fiable.

Avec AxKeyStore, le chiffrement s’effectue côté client. Seules les données chiffrées sont stockées dans le dépôt GitHub distant, et les secrets ne sont jamais conservés en clair dans le dépôt. L’outil évite également de stocker secrets, clés principales ou mots de passe sous forme non chiffrée sur le système de fichiers local.

Fonctionnalités principales

• Dépôt GitHub privé comme backend chiffré : Stocke les secrets dans un dépôt privé que vous contrôlez, en utilisant des blobs binaires chiffrés.
• Chiffrement côté client pour toute gestion de secrets : Les secrets sont chiffrés sur votre machine avant envoi ; aucun secret en clair n’est transmis sur le réseau.
• Modèle Zero Trust / chiffrement multi-couches : Utilise une Local Master Key (LMK) pour chiffrer la configuration locale (y compris votre jeton d’accès GitHub et le nom du dépôt) et une Remote Master Key (RMK) pour chiffrer les secrets stockés.
• Chiffrement authentifié moderne et dérivation de clés : Le chiffrement LMK utilise Argon2id et XChaCha20-Poly1305 ; le schéma en trois couches garantit que seuls des artefacts chiffrés atteignent GitHub.
• Authentification unifiée via GitHub Apps et Device Flow : S’authentifie de manière sécurisée avec GitHub Apps et le Device Flow.
• Flux CLI pour initialisation et opérations : Inclut des commandes pour se connecter, initialiser un dépôt de stockage et gérer les secrets via un ensemble de commandes simple.
• Organisation hiérarchique par catégories : Organisez les secrets en catégories comme api/production/internal.
• Support multi-profils : Gérez plusieurs coffres avec des connexions, mots de passe principaux et dépôts GitHub différents.

Comment utiliser AxKeyStore

1. Installer le CLI : Sur macOS/Linux, exécutez le script d’installation shell fourni. Sur Windows, exécutez le script PowerShell fourni. Les scripts téléchargent le binaire, le placent dans $HOME/.axkeystore/bin et configurent votre PATH.
2. Se connecter avec votre compte GitHub : Exécutez axkeystore login. À la première connexion, définissez un mot de passe principal ; ce mot de passe sert à chiffrer le jeton d’accès GitHub local sensible.
3. Installer l’application GitHub requise : Pendant la connexion, le CLI fournit un lien pour installer l’application GitHub pour votre utilisateur ou organisation. Vous devez installer l’application pour autoriser l’accès au dépôt.
4. Initialiser un dépôt de stockage : Exécutez axkeystore init --repo <repo-name> (ou incluez une organisation/propriétaire comme my-org/my-secret-store). Si le dépôt a été initialisé précédemment sur une autre machine, AxKeyStore vous invitera lors de l’initialisation.

Après initialisation, vous pouvez utiliser le CLI pour stocker et récupérer des identifiants qui existent sous forme de blobs chiffrés dans votre dépôt GitHub privé.

Cas d’usage

• Stocker des identifiants hébergés sur GitHub sans les garder en clair : Conservez clés API, mots de passe et autres secrets dans un dépôt privé où seules les données chiffrées sont stockées.
• Séparer les secrets par environnement ou domaine avec des catégories : Organisez les secrets sous des catégories hiérarchiques comme api/production/internal pour naviguer facilement entre environnements.
• Gérer plusieurs coffres sur différents dépôts GitHub : Maintenez des profils séparés pour divers dépôts et mots de passe principaux, utile pour travailler sur plusieurs projets ou organisations.
• Sécuriser le stockage local des identifiants : Assurez que le jeton d’accès GitHub et le nom du dépôt (identifiants locaux) sont chiffrés avec la Local Master Key et protégés par le mot de passe principal de l’utilisateur.
• Utilisation multi-machines avec stockage distant non fiable : Initialisez le même dépôt chiffré sur une autre machine (invité lors de l’init) pour que le distant ne contienne que des blobs chiffrés, chaque client gérant le chiffrement.

FAQ

• AxKeyStore stocke-t-il les secrets non chiffrés dans GitHub ? Non. Les secrets sont chiffrés côté client et seuls des blobs binaires chiffrés sont stockés dans le dépôt GitHub privé.

• Les clés de chiffrement ou mots de passe principaux sont-ils envoyés sur le réseau ? Le projet indique que aucun secret, clé principale ou mot de passe en clair ne transite sur le réseau. Le chiffrement se fait uniquement sur votre machine.

• Quelle authentification utilise AxKeyStore ? Il utilise GitHub Apps et le Device Flow pour s’authentifier.

• Comment AxKeyStore protège-t-il les données localement ? Il utilise une Local Master Key (LMK) chiffrée avec votre mot de passe principal via Argon2id et XChaCha20-Poly1305, la LMK servant à chiffrer la configuration locale comme le jeton d’accès GitHub et le nom du dépôt.

• Quels systèmes d’exploitation sont supportés pour l’installation ? Le dépôt fournit des scripts pour macOS/Linux (via install.sh) et Windows (via install.ps1).

Alternatives

• Autres gestionnaires de secrets basés sur CLI avec chiffrement côté client : Recherchez des outils qui chiffrent les secrets localement et n’enregistrent que le texte chiffré dans un backend distant (modèle de stockage non fiable similaire), généralement avec S3, Git ou autre stockage.
• Gestionnaires de mots de passe dédiés (applications basées sur vault) : Utilisez une application locale ou un vault de bureau/mobile qui gère le chiffrement et la synchronisation ; le workflow diffère car le backend est géré par le gestionnaire de mots de passe plutôt que par votre dépôt GitHub privé que vous contrôlez.
• Stockage de secrets basé sur Git avec outils de chiffrement : Certaines approches stockent des fichiers chiffrés dans Git et s’appuient sur vos outils de chiffrement ; comparé à AxKeyStore, vous gérez vous-même le workflow de chiffrement plutôt que d’utiliser le CLI dédié et son modèle de clés.
• Gestionnaires de secrets cloud avec chiffrement géré : Services qui stockent les secrets dans un système géré ; contrairement au modèle décrit pour AxKeyStore, l’approche côté client avec stockage non fiable n’est peut-être pas le schéma principal.