Autenticazione a due fattori e codici di recupero

Non esiste il recupero basato sull'identità

Parti da qui, perché cambia lo scopo del resto di questo articolo. Non ti abbiamo mai chiesto chi sei. Non esiste un documento, un numero di telefono o un indirizzo di fatturazione nei nostri archivi, quindi non esiste alcuna procedura con cui potresti dimostrare che un account è tuo dopo aver perso l'accesso. Questo è il compromesso che la politica no-KYC impone, e non si piega in nessuna delle due direzioni.

I codici di recupero sono la procedura di recupero. Trattali come se fossero l'account, perché operativamente lo sono.

Attivazione

Due meccanismi, utilizzabili insieme:

• TOTP: le familiari sei cifre su un passo di trenta secondi. Qualsiasi autenticatore funziona.
• WebAuthn: una chiave di sicurezza hardware o un autenticatore di piattaforma. Registrane due.

Una volta attivato, il secondo fattore è richiesto all'accesso, prima di una sessione console out-of-band e prima che l'email dell'account possa essere modificata. Non è richiesto per i token API, che sono una credenziale separata con i propri ambiti.

Verifica da soli del segreto TOTP

apt install -y oathtool
oathtool --totp -b JBSWY3DPEHPK3PXP

Il codice stampato dovrebbe corrispondere a quello sul telefono allo stesso secondo. Quando non corrisponde, la causa è quasi sempre un orologio piuttosto che un segreto.

Deriva dell'orologio

TOTP è una funzione del tempo. Accettiamo un passo su entrambi i lati, quindi trenta secondi di margine: abbondanti per un telefono, non sufficienti per un server rimasto acceso per un anno senza un client di sincronizzazione dell'ora funzionante.

timedatectl status
systemctl status systemd-timesyncd     # Debian
chronyc tracking                       # AlmaLinux

System clock synchronized: yes è la riga che conta. Sistemo l'orologio prima di concludere che qualcos'altro sia rotto.

Codici di recupero

Dieci codici, monouso, generati quando attivi il secondo fattore. Ognuno ti fa accedere una volta e poi è morto.

• Stampali. La carta non ha batteria, né aggiornamenti firmware, né schermata di blocco.
• Conserva una copia in un edificio diverso da quello della macchina da cui accedi.
• Non conservarli nel gestore di password che contiene la password dell'account. Così trasformi due fattori in uno.
• Rigenera il set dopo aver usato un codice, o ogni volta che non sei certo che una copia sia ancora privata. La rigenerazione invalida tutti i codici del vecchio set.

Se perdi il fattore ma hai ancora i codici

Accedi con un codice, rimuovi il vecchio fattore, registra il nuovo, rigenera il set. Quattro minuti, nessun ticket, nessuna attesa per nessuno.

Se perdi entrambi

L'account è perso. Non bloccato in attesa di un modulo, non sospeso mentre qualcuno lo esamina: perso, insieme a tutto ciò che vi gira sotto. Preferiamo scriverlo chiaramente piuttosto che suggerire una via di fuga che non esiste, e l'assistenza non può crearne una; non c'è nulla dalla nostra parte con cui verificare la tua identità.

La mitigazione è noiosa e funziona. Due chiavi hardware, o una chiave e un set di codici stampato in un cassetto altrove. E una copia di qualsiasi cosa veramente insostituibile conservata in un posto che non siamo noi, che è una buona pratica indipendentemente da chi sia il tuo host.