[Sécurité] Double authentification (EN COURS...)

[L_Indien]

Bonjour à toutes et à tous,

Je souhaiterais installer une authentification à double facteur.

L'idée serait d'avoir une application s'installant sur un Androïd (mais pas avec gogole) et en même temps sur Arch.

Je me suis tourné vers Ente Auth Authentificateur (dispo depuis AUR) et également sur le store.

Je suis un peu frileux, car les serverurs de sauvegarde ne sont pas en Europe...

Connaissez-vous l'appli en elle-même ?

Avez-vous des retours dessus (positifs/négatifs) ?

Je vous remercie pour le retour.

Bon week-end.
----------------------------------
[EDIT] visiblement, avec keepass il est également possible de réaliser la double authentification. Vous en avez entendu parlé aussi ?

[benjarobin]

Bonjour,
Si je comprends bien, tu veux une application qui permet de stocker et gérer la double authentification d'une application Web (Par exemple celle de github, Microsoft, ...).
Tu veux aussi un service qui permet de synchroniser la gestion de la double authentification sur plusieurs appareils.
Je vais être clair, je ne pense pas que cela soit une bonne idée de stocker ce genre d'information sur un PC. Un PC ce n'est pas très sécurisé... Sauf si l'information est stockée dans un conteneur très sécurisé, et protégé par une longue passphrase.
Je recommande vivement d'utiliser AEGIS qui est une application très réputée sous Android et qui permet de faire des sauvegardes externes sécurisées. Normalement, on a toujours son smartphone sur soi, donc je ne vois pas trop l'utilité d'avoir une application sur PC (qui pour moi, serait une énorme faille de sécurité, sauf si celle-ci demande une passphrase forte comme pour Keepass).

Et, en effet, apparemment, Keepass et KeepassXC permettent de gérer un code TOTP (qui est généralement un code de 6 chiffres qui change toutes les 30s) :
- https://www.fhtino.it/docs/keepass-totp--intro/
- https://www.it-connect.fr/mfa-comment-c ... keepassxc/
Merci tu m'as appris quelque chose...
Je ferais vraiment plus confiance en KeepassXC qu’en une solution alternative (potentiellement complètement fermé) avec un backup dans le cloud…

Bref, après un peu de lecture, je te recommande vivement le couple KeepassXC (ou Keepass ) / AEGIS. Il est possible d'exporter facilement ses codes TOTP de KeepassXC vers AEGIS.
Alors oui, il n'y aura pas de synchronisation automatique. Mais ce n'est pas tous les jours que l'on ajoute un nouveau code TOTP.

Personnellement, je me refuse de stocker dans le cloud mes moyens d'authentification, je gère tout via KeepassXC, et, par contre j'ai une synchronisation sur mesure (que j'ai développé) via un cloud "personnel". Le nombre de sites qui proposent comme service de gérer ses mots de passe simplement, et qui ont été piratés ces dernières années fait peur...

[L_Indien]

Bonjour benjarobin,

Je te remercie pour ta réponse.

L'idée n'est pas forcement de stocker la base de données dans le cloud : j'utilise keepass.

Je cherche « juste » une application qui génère un mot de passe à usage unique qui ne peut être utiliser qu'une seule fois.

J'ai ça à mon boulot : accès à l'interface web avec un mot passe délivré par un appareil + une phrase que personne connait à par moi.

J'ignore si ce que je cherche existe pour les particuliers.

La possibilité de keepass permettant la double authentification ne me déplait pas : il faut déjà une phrase pour y accéder.

Je ne m'arrête pas uniquement au téléphone car le réseau GSM est complètement nul à .... (pour en pas dire autre chose...)

[benjarobin]

Je cherche « juste » une application qui génère un mot de passe à usage unique qui ne peut être utiliser qu'une seule fois.

Je n'ai pas compris ce que tu cherches à faire.
C'est un mot de passe pour quoi ? Tu ne parles pas de TOTP ?
Quel est le but de ce mot de passe, c'est pour ce connecter à quoi ?

J'ai bien peur que tu n'ai pas compris ce que c'était la double authentification...
Le principe de la double authentification, c'est qu'un site te demande un mot de passe classique et un code généré via une application de double authentification.
L'envoi d'un SMS est aussi une méthode de double authentification, le code pour s'authentifier est reçu par SMS.
Donc ce n'est pas toi qui décide vraiment où se trouve la double authentification, c'est en fonction des sites Web, celui-ci peut ou pas te le proposer ou te l'imposer. Si le site ne le supporte pas tu ne peux pas ajouter comme cela magiquement la double authentification.

[L_Indien]

Merci Benjarobin pour ton retour.

Si je parle bien de TOTP.

Je n'ai sûrement pas été clair dans la définition de mon besoin : je rentre les ID « classiques » puis le site web me demande un code (souvent uniquement des chiffres) fournit par une application tierce.

J'ai déjà utilisé la double authentification qui était proposée par des sites web : envoie d'un SMS/courriel contenant le code à usage unique.

Ce n'est pas forcement ce que je recherchais. Mais je viens de tester la double authentification via l'appli que tu m'as conseillé.

Cela ressemble plus à ce que j'attendais (grâce à l'application aegis) : génération d'un code à usage unique en fonction des sites webs proposant la double authentification.

Je viens de le mettre en place sur les sites qui le permette.

Je te remercie pour les conseils et le temps consacré.

Bonne fin de journée.