La 2FA d’un compte partagé : comment une équipe devrait-elle s’y prendre ?

Prenez-le dans cet ordre. Supprimez l’identifiant partagé partout où l’outil le permet. Là où il ne le permet pas, déléguez l’accès personne par personne si l’outil a une notion de membres. Pour les comptes qui n’ont vraiment qu’un identifiant et un second facteur, gardez le secret à un seul endroit et donnez à l’équipe l’accès aux codes qu’il produit, avec une trace de qui a regardé.

La plupart des équipes sautent directement au troisième cas, puis partagent le secret lui-même, en général sous forme d’une capture du QR code de configuration. C’est le seul geste de tout ce sujet qui ne se défait pas.

Pourquoi les équipes en viennent à partager des comptes

Un compte partagé n’est pas le signe d’une équipe négligente. Ça vient en général de quatre situations ordinaires.

La tarification par siège. Un outil coûte 19 € par utilisateur et par mois, et une personne s’en sert deux fois par semaine. L’équipe achète un siège et le partage. C’est une décision de budget, pas de sécurité, et dire à l’équipe d’acheter cinq sièges ne change pas le budget.

Une identité de facturation ou juridique unique. Prestataires de paiement, bureaux d’enregistrement et portails fiscaux sont liés à un seul titulaire. Il n’y a souvent pas de second siège à acheter.

Des comptes que l’équipe ne possède pas. Les agences travaillent dans les comptes de leurs clients, avec des identifiants transmis par e-mail en début de mission. Demander au client de restructurer son modèle d’accès est rarement envisageable.

Des comptes plus vieux que l’équipe. Quelqu’un l’a créé en 2019 avec une adresse personnelle, il est devenu porteur, et personne n’a touché à l’identifiant depuis.

Aucun de ces cas ne se règle par une règle qui dit de ne pas partager de compte. Ce qui peut se régler, c’est ce qu’il advient du second facteur une fois le partage acquis.

Ce que la 2FA change à un compte partagé

Un mot de passe partagé est une abstraction : il vit dans un coffre, et tous ceux qui ont le coffre l’ont. Activer l’authentification à deux facteurs donne au compte un emplacement physique : un téléphone précis, dans une poche précise. Ça produit deux défaillances distinctes, et elles tirent dans des directions opposées.

Le goulot d’étranglement

Une personne devient la porte d’entrée. On lui écrit pour des codes pendant ses congés, ses arrêts maladie, ses réunions, et au pire moment possible pendant un incident. Les équipes contournent en programmant les déploiements quand cette personne est réveillée, ce qui est le signe que le compte est devenu une dépendance à un être humain.

Puis le téléphone se perd, ou se remplace, ou la personne s’en va sans transmettre, et l’accès a disparu. Pas verrouillé. Disparu. Ce qui suit, c’est une procédure de récupération auprès du fournisseur, à son rythme, avec les preuves de propriété qu’il demande.

La copie silencieuse

Face au goulot d’étranglement, le geste naturel est de laisser chacun enrôler sa propre application depuis le même QR code de configuration. Ça règle la disponibilité immédiatement et crée un problème sans date de péremption.

Le QR code contient le secret. Une fois publié dans un canal ou sur un disque partagé, le nombre de copies est inconnu et impossible à connaître : il est dans l’historique des messages, dans les index de recherche, dans les sauvegardes, et sur le téléphone de tous ceux qui l’ont scanné un jour, y compris ceux qui sont partis depuis. La page de sécurité du compte n’en parlera jamais. Rien ne le fait remonter, jamais, jusqu’au jour où quelqu’un qui ne devrait pas avoir l’accès s’en sert.

La seconde défaillance est pire que la première, parce que la première s’annonce et que la seconde non.

Triez les comptes avant de choisir un mécanisme

L’erreur est de choisir un mécanisme pour tout. Triez d’abord la liste. Pour la plupart des équipes, ça prend vingt minutes et ramène le vrai problème à une poignée de comptes.

Les comptes qui n’ont pas besoin d’être partagés du tout

Vérifiez si l’outil gère le SSO sur le forfait où vous êtes, ou des utilisateurs individuels avec des rôles. Si c’est le cas, l’identifiant partagé devrait cesser d’exister. Chacun se connecte en son nom, avec son propre second facteur, et il ne reste rien à partager. C’est la seule option de cet article qui supprime le problème au lieu de le gérer.

Les comptes qui permettent la délégation

Un grand ensemble occupe le milieu : un compte possède la ressource, mais la plateforme permet d’ajouter des personnes individuellement. Les consoles cloud permettent de créer un utilisateur par personne avec sa propre MFA. Les régies publicitaires et les business managers donnent des accès individuels sur une ressource. Les prestataires de paiement permettent en général d’inviter des membres d’équipe qui configurent chacun leur 2FA.

Ici l’identifiant partagé subsiste (le propriétaire, le compte racine, la chose dont on se sert deux fois par an) et le travail quotidien se fait sous des identités personnelles. Quand quelqu’un part, vous retirez une personne et ne touchez à rien d’autre. C’est l’étape la moins reluisante et la plus utile de tout l’exercice, et c’est la plus souvent sautée parce que sa mise en place prend un après-midi.

Les comptes qui n’ont vraiment qu’un identifiant

Ce qui reste, c’est le vrai sujet : le bureau d’enregistrement, le petit SaaS sans forfait d’équipe, le compte client dont le propriétaire ne restructurera rien, le compte hérité que personne ne veut migrer. Un identifiant, un second facteur, et plusieurs personnes qui en ont légitimement besoin.

Cinq façons de faire tourner ce dernier groupe

Deux de ces lignes méritent mieux qu’une ligne de tableau, parce que ce sont celles que les équipes pratiquent vraiment.

Le téléphone dédié vaut mieux que sa réputation. Il garde le secret hors des appareils personnels et s’explique facilement. Il échoue sur la disponibilité, puisqu’une équipe à distance ne peut pas se servir d’un tiroir, et sur le fait de savoir quoi que ce soit après coup. Comme appareil de bris de glace rangé avec les codes de récupération, il mérite sa place.

Le gestionnaire de mots de passe partagé est la réponse la plus courante, et pour une équipe de trois elle suffit souvent. Sa faiblesse est structurelle et non le fruit d’une négligence : le mot de passe et le secret TOTP finissent dans la même entrée, donc un seul compte de coffre compromis livre les deux facteurs. La plupart des coffres journalisent aussi l’ouverture d’une entrée, ce qui n’est pas la même chose que savoir à quelle connexion un code a servi. Là où le coffre sait séparer les deux et restreindre l’accès entrée par entrée, servez-vous-en.

À quoi ressemble le bon réglage, quel que soit votre choix

Quatre propriétés séparent un compte partagé que vous maîtrisez d’un compte dont vous espérez seulement que personne n’abusera.

• Personne n’a besoin de détenir le secret pour obtenir un code. Un portable perdu ou un prestataire qui s’en va cesse alors d’être un incident.
• L’accès est par personne et par compte. Celui qui publie sur le profil social n’a aucune raison de produire des codes pour le prestataire de paiement.
• Les consultations sont enregistrées quand elles ont lieu. Après un incident, la première question est de savoir qui avait accès à ce moment-là. Reconstituer ça depuis un historique de conversation n’est pas une réponse.
• Retirer quelqu’un tient en une action. Si un départ impose de réinitialiser la 2FA sur onze comptes, ça ne se fera pas, sans que personne le dise.

La mécanique de la première propriété, des codes sans le secret, est traitée dans partager des codes TOTP sans partager le secret, et la mise en place pratique dans comment partager des codes 2FA en équipe en toute sécurité.

Une règle applicable cette semaine

1. Listez les identifiants partagés qui bloquent des gens. Pas tous vos comptes, seulement ceux où quelqu’un attend quelqu’un d’autre. En général quatre ou cinq.
2. Pour chacun, cherchez le SSO ou des sièges individuels sur votre forfait actuel. Tout ce qui en a quitte la liste.
3. Pour le reste, cherchez la délégation. Membres, sous-utilisateurs, accès au niveau de la ressource. Déplacez-y le travail quotidien et gardez l’identifiant partagé pour la propriété du compte.
4. Ce qui survit aux deux vérifications est votre vrai problème de 2FA. Décidez où vit le secret, donnez à tous les autres l’accès aux codes plutôt qu’au secret, et gardez un journal.
5. Réinitialisez la 2FA sur tout compte dont le QR code a été publié quelque part. On ne dé-partage pas un secret. Considérez-le comme brûlé et reprenez ce compte à zéro, une fois.
6. Notez où vit chaque secret, avec les codes de récupération, quelque part où les administrateurs peuvent aller sans passer par le compte qu’il protège.

L’étape 6 est celle qu’on regrette d’avoir sautée. Ranger l’unique copie d’un code de récupération dans le compte qu’il récupère est une boucle qui se referme au pire moment.

Où Share Auth se place

Share Auth couvre l’étape 4 et rien d’autre. Un compte est ajouté une fois, par la personne qui l’administre, et les gens invités voient le code à six chiffres courant avec son décompte plutôt que la chaîne derrière. Les secrets sont chiffrés au repos, les permissions sont accordées membre par membre, et chaque consultation est écrite dans un journal d’accès. Retirer un membre retire son accès sur tous les comptes d’un coup, sans rien à reconfigurer pour ceux qui restent.

Il ne remplace délibérément pas votre gestionnaire de mots de passe, et il ne remplace pas le SSO là où le SSO existe. Si l’étape 2 ou l’étape 3 a réglé un compte, ce compte n’a pas sa place ici.

Ce que rien de tout cela ne règle

Un identifiant partagé est une identité partagée, et aucun outillage autour du second facteur n’y change rien. Le journal d’audit du fournisseur montrera le compte, pas la personne. Une trace de qui a consulté un code est le meilleur substitut disponible, et il est bon : il fait passer une enquête de « tout le monde » à un nom et un horodatage. Mais c’est une inférence, pas une preuve.

C’est l’argument pour passer l’après-midi sur l’étape 3 plutôt que pour perfectionner l’étape 4. Bien gérer la 2FA partagée en vaut la peine pour les comptes qui doivent rester partagés. Pour tout le reste, l’objectif est d’en avoir moins au prochain trimestre qu’à celui-ci.