Authentification à deux facteurs et codes de récupération

Il n'existe pas de récupération basée sur l'identité

Commencez ici, car cela change l'objectif du reste de cet article. Nous ne vous avons jamais demandé qui vous êtes. Il n'y a ni document, ni numéro de téléphone, ni adresse de facturation enregistrés, donc aucune procédure ne permet de prouver qu'un compte vous appartient après en avoir perdu l'accès. C'est le compromis que fait la politique sans KYC, et elle ne fléchit dans aucun sens.

Les codes de récupération constituent la procédure de récupération. Traitez-les comme s'ils étaient le compte, car sur le plan opérationnel, ils le sont.

Activation

Deux mécanismes, utilisables ensemble :

• TOTP : les six chiffres familiers sur une période de trente secondes. N'importe quel authentificateur fonctionne.
• WebAuthn : une clé de sécurité matérielle ou un authentificateur de plateforme. Enregistrez-en deux.

Une fois activée, la deuxième factor est requise à la connexion, avant une session console hors bande, et avant que l'adresse e-mail du compte puisse être modifiée. Elle n'est pas requise pour les jetons API, qui constituent une autre information d'identification avec leurs propres étendues.

Vérification manuelle d'un secret TOTP

apt install -y oathtool
oathtool --totp -b JBSWY3DPEHPK3PXP

Le code imprimé doit correspondre à celui de votre téléphone à la même seconde. Si ce n'est pas le cas, la cause est presque toujours une horloge, pas un secret.

Dérive d'horloge

TOTP est une fonction du temps. Nous acceptons un pas de chaque côté, soit trente secondes de marge : largement suffisant pour un téléphone, mais pas pour un serveur qui tourne depuis un an sans client de synchronisation horaire fonctionnel.

timedatectl status
systemctl status systemd-timesyncd     # Debian
chronyc tracking                       # AlmaLinux

System clock synchronized: yes est la ligne qui compte. Corrigez l'horloge avant de conclure que tout autre chose est en panne.

Codes de récupération

Dix codes, à usage unique, générés lors de l'activation de la deuxième factor. Chacun vous connecte une fois, puis est mort.

• Imprimez-les. Le papier n'a ni batterie, ni mise à jour du micrologiciel, ni écran de verrouillage.
• Conservez une copie dans un bâtiment différent de celui où se trouve la machine depuis laquelle vous vous connectez.
• Ne les stockez pas dans le gestionnaire de mots de passe qui contient le mot de passe du compte. Cela réduit deux facteurs à un seul.
• Régénérez le jeu après avoir utilisé un code, ou chaque fois que vous n'êtes pas certain qu'une copie est encore privée. La régénération tue tous les codes de l'ancien jeu.

Si vous perdez le facteur mais avez encore des codes

Connectez-vous avec un code, supprimez l'ancien facteur, enregistrez le nouveau, régénérez le jeu. Quatre minutes, pas de ticket, sans attendre personne.

Si vous perdez les deux

Le compte est perdu. Pas verrouillé en attendant un formulaire, pas suspendu pendant qu'un employé examine le dossier — perdu, ainsi que tout ce qui tourne dessous. Nous préférons l'écrire clairement plutôt que de laisser entendre qu'il existe une échappatoire qui n'existe pas, et le support ne peut pas en faire surgir une ; il n'y a rien de notre côté pour vérifier votre identité.

L'atténuation est simple et elle fonctionne. Deux clés matérielles, ou une clé et un jeu de codes imprimés dans un tiroir ailleurs. Et une copie de tout ce qui est vraiment irremplaçable conservée ailleurs que chez nous, ce qui est une bonne pratique quel que soit votre hébergeur.