Les meilleures façons de gérer la 2FA d’un compte partagé

Il n’y a pas de meilleure façon unique, et tout article qui en désigne une vend quelque chose. Il y a cinq approches qui fonctionnent, et celle qui convient dépend de trois choses : la plateforme propose-t-elle un accès par personne, votre équipe partage-t-elle une pièce, et y a-t-il quelque chose d’automatisé qui doit se connecter.

Chacune vient avec la situation à laquelle elle convient, et trois questions suffisent ensuite à trancher.

Les cinq options

1. Un accès par personne sur la plateforme elle-même

Certaines plateformes permettent d’ajouter les gens individuellement sur la même ressource : consoles cloud avec comptes utilisateurs, régies publicitaires et business managers, prestataires de paiement avec des membres d’équipe. Chacun se connecte en son nom et configure son propre second facteur.

Points forts : tout. Il n’y a pas de secret partagé, la piste d’audit est celle de la plateforme, et retirer quelqu’un tient en un clic dans un écran prévu pour ça.

Là où ça casse : ça n’existe pas sur les forfaits qu’une petite équipe peut s’offrir, pour une bonne part des outils qu’elle utilise. La vérification prend cinq minutes par compte et mérite d’être faite avant toute chose.

Idéal pour : tous les comptes qui le permettent. Ce n’est pas un compromis, c’est l’absence du problème.

2. Un coffre qui partage les codes, pas les secrets

Le secret est saisi une fois par la personne qui administre le compte, et stocké chiffré. Ceux à qui l’accès a été donné voient le code à six chiffres courant et son décompte. Ils ne voient jamais la chaîne derrière, donc ils ne peuvent ni enrôler leur propre application, ni emporter le compte en partant.

Points forts : la disponibilité sans les copies. L’accès est une liste qu’on modifie plutôt qu’un secret qu’on ne peut pas rappeler, et les consultations peuvent être journalisées au moment où elles ont lieu.

Là où ça casse : c’est un outil de plus à faire tourner, et il n’a de sens que pour des comptes qui n’ont vraiment qu’un seul identifiant. L’utiliser pour quelque chose qui relève de l’option 1, c’est du travail pour rien.

Idéal pour : les équipes réparties, les agences avec des comptes clients, et quiconque a une liste de départ plus longue que trois comptes.

3. Une entrée de gestionnaire de mots de passe partagée contenant le secret TOTP

L’équipe a déjà un coffre, alors le secret va s’y ranger à côté du mot de passe. Le client de chacun produit les codes localement depuis l’entrée partagée.

Points forts : le coût et l’habitude. Rien de neuf à acheter, personne à former, et ça garde le secret hors des conversations.

Là où ça casse : les deux facteurs finissent dans un seul contenant, donc un seul compte de coffre compromis donne le mot de passe et les codes. L’accès a tendance à être tout ou rien par entrée, et le journal enregistre en général l’ouverture d’une entrée plutôt que la connexion qui a utilisé un code. Si votre coffre sait restreindre l’accès entrée par entrée et séparer les deux, utilisez cette possibilité : elle referme l’essentiel de l’écart.

Idéal pour : deux ou trois personnes, peu de comptes, tout le monde en poste durable.

4. Un appareil dédié

Un téléphone bon marché porte l’application d’authentification des comptes partagés et vit au bureau, idéalement avec les codes de récupération imprimés.

Points forts : garder les secrets hors des appareils personnels, et être trivial à expliquer à une équipe non technique.

Là où ça casse : ça demande une présence physique, ce qui l’exclut pour le travail à distance, et ça n’enregistre rien. N’importe quel code a pu être lu par quiconque passait par là.

Idéal pour : une équipe sur un même site, ou comme appareil de bris de glace derrière l’une des options ci-dessus.

5. Une personne le garde

Le choix par défaut, celui qui s’installe tout seul : une personne installe l’application et lit les codes quand on lui demande.

Points forts : aucun, structurellement, même si ça ne coûte rien et que ça marche très bien longtemps dans une équipe de deux.

Là où ça casse : cette personne devient une dépendance, avec des congés, des réunions et un téléphone qui peut se perdre. Si elle part sans transmettre, le compte doit être récupéré auprès du fournisseur plutôt qu’ouvert.

Idéal pour : une solution d’attente dont vous avez décidé que c’en était une.

Côte à côte

La colonne qui tranche la plupart des cas est la quatrième. Tout ce qui distribue le secret rend la cinquième colonne coûteuse, et c’est la cinquième colonne que vous affrontez le jour où quelqu’un s’en va.

Celle qui convient à votre équipe

Deux ou trois personnes, une seule pièce, aucun départ en vue. Une entrée de coffre partagée, ou l’appareil dédié si les comptes sont sensibles. N’allez pas construire plus gros que nécessaire.

Une équipe répartie. Les options 4 et 5 tombent sur la disponibilité. Vérifiez l’option 1 compte par compte, puis faites tourner le reste sur l’option 2.

Une agence avec des comptes clients. L’option 1 survit rarement au contact d’un client qui ne restructurera pas ses accès, et le renouvellement des équipes rend l’option 3 coûteuse : chaque départ impose de réinitialiser la 2FA chez tous les clients. L’option 2 est celle qui est faite pour cette forme-là.

Une équipe dont des scripts ou une CI se connectent. Ce qui détient le secret devrait pouvoir remettre un code à vos outils à la demande, pour que le secret reste côté serveur. Ça oriente vers l’option 1 avec un utilisateur machine quand c’est possible, et vers l’option 2 sinon.

Une entreprise avec du SSO sur la plupart des outils. Utilisez-le, et admettez que le bureau d’enregistrement, les comptes détenus par les clients et les SaaS en forfait d’entrée resteront en dehors. Cette courte liste, c’est tout le travail.

Trois questions qui tranchent

1. La plateforme me permet-elle d’ajouter cette personne individuellement ? Si oui, arrêtez-vous là et faites-le.
2. Quelqu’un aura-t-il besoin d’un code sans être dans le même bâtiment que l’appareil ? Si oui, les options 4 et 5 sont écartées.
3. Combien de comptes devrais-je réinitialiser si quelqu’un partait demain ? Si la réponse dépasse deux ou trois, il vous faut un accès révocable plutôt qu’un secret que vous avez distribué.

Le chemin de décision complet, type de compte par type de compte, est dans la 2FA d’un compte partagé : comment une équipe devrait-elle s’y prendre ?.

Ce qu’il faut éviter quelle que soit l’option

• Partager le QR code de configuration. C’est le secret sous forme visuelle. Ses copies ne peuvent pas être comptées, et le seul moyen de le reprendre est de réinitialiser la 2FA et de réenrôler tout le monde. Pourquoi c’est pire qu’il n’y paraît : partager des codes TOTP sans partager le secret.
• Les codes de récupération comme mode de travail quotidien. Ils sont à usage unique et en nombre fini, et personne ne peut dire qui a consommé lequel. Rangez-les avec le secret, comme mesure d’urgence.
• Ranger l’unique copie d’un code de récupération dans le compte qu’il récupère. Une boucle qui se referme au pire moment.
• Laisser le choix implicite. L’option 5 est ce qui arrive quand personne ne décide.

Où Share Auth se place

Share Auth, c’est l’option 2. Les comptes sont ajoutés une fois, les membres invités voient des codes plutôt que des secrets, les permissions se règlent membre par membre, et chaque consultation atterrit dans un journal d’accès. Retirer quelqu’un retire son accès partout d’un coup.

C’est la forme que prend une application d’authentification partagée : un coffre pour l’équipe, des codes pour les gens, des secrets pour personne.

La liste ci-dessus vaut la peine d’être lue comme un ordre de préférence plutôt que comme un menu : si l’option 1 couvre un compte, ce compte n’a rien à faire dans un coffre partagé, y compris le nôtre.