Icône d'authentificateur erronée ? Pourquoi le logo ne prouve rien
Un logo absent ne dit rien de qui détient votre second facteur. Vérifiez l'enrôlement depuis le compte, et ne téléversez jamais le code QR pour réparer une image.
Des carrés gris là où devrait figurer le logo d'une marque paraissent alarmants, et pourtant c'est la mauvaise chose sur laquelle agir. L'image qu'un authentificateur dessine est un détail d'affichage dérivé des libellés de l'entrée, alors que la question de sécurité est de savoir si le secret contenu dans cette entrée appartient à votre compte. Garder ces deux choses séparées, c'est ce qui distingue une réparation cosmétique d'un incident d'identifiants. Cela empêche aussi la réparation qui aggrave les choses.
L'icône et le secret répondent à des questions différentes
Une entrée d'authentificateur est créée à partir d'un URI de clé qui porte un secret partagé avec un libellé de compte et un nom d'émetteur. L'application dessine un logo à partir de l'émetteur qu'elle reconnaît, et un émetteur inconnu ou modifié produit simplement une image générique. Rien dans ce rendu ne vous dit qui d'autre possède une copie du secret, et rien dans un logo correct ne vous dit que l'entrée n'appartient qu'à vous. Lisez l'affichage comme un indice sur un libellé, non comme une affirmation sur la garde.
L'inverse est vrai aussi, et c'est la direction la plus dangereuse. Un logo convaincant prouve encore moins qu'un logo manquant.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Ne réenrôlez jamais pour réparer une image
La réparation qui circule en ligne consiste à régénérer le code QR, c'est-à-dire exporter le secret et le faire passer par un autre outil. Cela transforme un problème d'affichage en divulgation, car l'export contient exactement la matière dont un attaquant a besoin pour produire des codes valides. Le téléverser vers un générateur web remet le second facteur à un tiers en échange d'une icône plus jolie.
Si le compte vérifie encore les codes, l'enrôlement est intact et l'affichage est cosmétique. Consultez la documentation de l'authentificateur lui-même sur les libellés d'émetteur et la recherche d'icônes, et laissez l'entrée tranquille. Modifier le libellé pour forcer un logo est une modification de l'entrée pour une raison qui n'a rien à voir avec l'authentification.
Gardez l'image QR d'origine, l'URI de clé brut et tout secret manuel hors des tickets, des fils de discussion, des captures d'écran et des suivis publics de problèmes. Une capture d'écran d'une page de configuration contient souvent plus que ce que son auteur avait prévu.
Quand le secret a réellement été exposé
Traitez la divulgation comme un incident distinct avec sa propre réponse. Utilisez le processus de remplacement pris en charge par le service pour enrôler un nouvel authentificateur, confirmez que la nouvelle entrée produit des codes acceptés, puis retirez l'ancien enrôlement sur le serveur. Supprimer l'entrée localement n'efface pas l'enregistrement côté serveur, si bien que le secret exposé peut continuer de fonctionner jusqu'à ce que le service soit informé du contraire. C'est dans cet écart entre la suppression locale et l'état du serveur que se situe l'essentiel du risque.
L'ordre compte ici. Enrôlez le remplacement d'abord, vérifiez-le, et seulement ensuite retirez l'ancien, car la plupart des services vous verrouilleront si le dernier facteur disparaît. Les codes de récupération font aussi partie de cette séquence, puisqu'ils sont la voie de secours lorsque le téléphone n'est pas disponible.
Vérifiez si le même secret a servi ailleurs. Un URI de clé collé dans un générateur a quitté votre contrôle, et le compte qui se trouve derrière doit être considéré comme partagé jusqu'au remplacement de l'enregistrement.
Les demandes d'assistance devraient décrire le problème visuel sans inclure de codes ni de matière de configuration. Tout ce qui est propre au compte relève du canal vérifié du fournisseur, pas d'un fil public.
Gardez une voie de récupération avant de supprimer
Avant de retirer une entrée fonctionnelle, confirmez qu'une voie de récupération approuvée existe et que vous pouvez l'utiliser. Une réparation cosmétique qui finit en verrouillage est un résultat pire que le mauvais logo, et les verrouillages sont fréquents lorsque le seul appareil enrôlé est celui qui est en cours de modification.
La condition d'acceptation est étroite : une relation vérifiée entre le compte et l'authentificateur, la matière d'enrôlement restant privée. Un insigne familier ne fait pas partie de cette condition, et son absence n'est pas une preuve de compromission.
Le format d'URI de clé lui-même est documenté dans la spécification d'URI de clé de Google Authenticator, qui rappelle aussi que la charge utile contient un secret et non un logo. Lisez-la avant d'exporter quoi que ce soit d'une entrée que vous ne pouvez pas vous permettre de perdre.