Le TOTP sur le même ordinateur portable est-il vraiment un second facteur ?
Un générateur de codes sur l’ordinateur portable du VPN est un facteur de possession qui se situe à l’intérieur de la même frontière de compromission. Suivez d’abord la graine et la session.
Connectez-vous à un client VPN qui demande un mot de passe puis un code à six chiffres, et deux invites ressemblent à deux barrières indépendantes. Comptées par type de facteur, elles le sont : le mot de passe est quelque chose que vous savez, le code est quelque chose que vous possédez. Comptées par ce qu’un seul ordinateur portable compromis expose, elles peuvent s’effondrer en une seule frontière, car ce que vous possédez est un fichier sur la machine dans laquelle vous tapez. L’écart entre ces deux décomptes est le sujet de ce parcours.
Suivez une connexion du champ mot de passe jusqu’au champ du code
Observez la séquence, pas les étiquettes. Le client envoie le mot de passe, le serveur répond qu’une seconde preuve est requise, et le client ouvre un champ pour six ou huit chiffres. Derrière ce champ se trouve une application génératrice qui détient un secret partagé et une horloge. Elle calcule une valeur à partir du secret et du pas de temps courant, et le serveur recalcule la même valeur à partir de sa copie du secret.
Les deux côtés détiennent le même matériel de clé. Cette symétrie est la partie que les gens manquent lorsqu’ils décrivent le code comme un secret : le fournisseur peut aussi générer vos codes, et c’est pourquoi la graine vaut plus que n’importe quelle sortie isolée. Un code qui fuit est une valeur à usage unique ; la graine qui l’a produit est un justificatif permanent qui continue de produire des valeurs valides jusqu’à son remplacement.
L’activation est l’autre moitié du flux. Un générateur qui se déverrouille avec un code de l’appareil, une invite biométrique ou un conteneur chiffré présente une preuve de possession plus autre chose. Celui qui tourne sans chiffrement et se déverrouille avec la session du système d’exploitation ne présente que le fichier. La même application peut proposer les deux dispositions selon la façon dont l’enrôlement a été fait, donc la décision de déploiement se trouve à cette étape, pas sur la page marketing de l’application.
Décidez ce que le code prouve réellement
Le langage des normes est ici inhabituellement clair, et mérite une lecture directe. Le guide des authentificateurs du NIST classe les générateurs OTP logiciels parmi les authentificateurs, distingue l’OTP à facteur unique de l’OTP multifacteur avec un facteur d’activation, et indique que l’authentification OTP n’est pas résistante au phishing. Chacune de ces trois clauses change ce que vous pouvez affirmer sur l’invite.
Ne pas résister au phishing est le tranchant le plus vif. Un code tapé dans un champ peut être tapé dans le champ de quelqu’un d’autre, en temps réel, par une personne qu’on a persuadée de le faire. La fenêtre est courte, ce qui réduit le nombre de tentatives utiles mais ne ferme pas la technique. Si votre exigence inclut d’y résister, l’OTP est la mauvaise primitive, peu importe où le générateur s’exécute.
Facteur unique contre multifacteur est la seconde distinction. Un code qui apparaît sans étape d’activation prouve la possession d’un fichier et rien d’autre, et le fichier n’est aussi solide que le compte qui peut le lire. Ajoutez un facteur d’activation et l’affirmation s’améliore, même si elle décrit toujours la preuve présentée à la connexion, non l’isolement de la machine qui la produit.
Voyez ce qu’un ordinateur portable compromis peut atteindre
Un attaquant disposant d’une exécution de code sur le poste de travail n’est pas limité à la lecture du champ dans lequel vous tapez. La session établie après une connexion réussie est généralement un jeton ou un cookie, et un jeton peut être utilisé depuis une autre machine sans aucun code. Si c’est la capacité contre laquelle vous vous défendez, ajouter une seconde invite à la connexion change le nombre d’étapes de l’attaque, pas le résultat.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Lisez la troisième colonne comme l’honnête. Chaque disposition ci-dessus laisse quelque chose à l’intérieur de la frontière de confiance du poste de travail, car c’est là que la session est utilisée. Ce qui change, c’est si le secret de longue durée voyage avec cette frontière ou reste à l’extérieur, et si la preuve est liée à une origine précise pour qu’une page imitée ne puisse pas la relayer.
Deux détails plus petits appartiennent à la même image. Un code reste valide pendant sa fenêtre d’acceptation, souvent trente secondes plus une tolérance à la dérive de l’horloge, de sorte qu’une valeur capturée peut être rejouée dans cette fenêtre, sauf si le vérificateur refuse la réutilisation. Et installer un nouveau générateur ne met pas fin aux sessions déjà authentifiées, donc une session ancienne survit au changement de justificatif censé contenir l’incident.
Ne déplacez le générateur que là où la séparation aide
Mettre le générateur de codes sur un téléphone est une amélioration réelle pour une défaillance précise : un ordinateur portable volé ne porte plus les deux preuves. Cela ne fait rien contre un détournement de session sur l’ordinateur portable, rien pour un utilisateur qui tape un code dans une page de phishing, et rien pour les codes de récupération qui ont été imprimés une fois puis photographiés dans une application de notes.
Écrivez donc l’exigence avant de choisir l’outil. Si l’objectif est une preuve supplémentaire contre un mot de passe divulgué, dites-le clairement, et l’application sur le même appareil la fournit déjà. Si l’objectif est la résilience à la compromission du poste de travail VPN, nommez cette capacité de l’attaquant et choisissez une disposition évaluée pour elle, l’exigence de phishing étant énoncée séparément plutôt que supposée.
Traitez ensuite la moitié opérationnelle, qui décide si quelque chose de tout cela survit à un contact avec un incident. La perte d’un appareil exige un chemin de remplacement documenté, la rotation des justificatifs exige de révoquer les sessions actives, et le matériel d’enrôlement exige la même protection que la graine, car une copie d’enrôlement non protégée remet à un attaquant les mêmes codes futurs par un chemin plus court. Énumérer ces quatre points est plus utile que de débattre si les jetons sur le même appareil sont bons ou sans valeur.