Comment partager des codes 2FA en équipe en toute sécurité

Si plusieurs personnes doivent se connecter au même compte, donnez-leur accès aux codes et gardez le secret à un seul endroit. Le code est un nombre à six chiffres qui expire en une trentaine de secondes. Le secret est la chaîne dont les codes sont dérivés, et il n’expire jamais. Les ennuis commencent quand une équipe partage la seconde chose en croyant partager la première.

Pourquoi ce problème existe

L’authentification à deux facteurs a été conçue autour d’une personne et d’un appareil. Le compte appartient à quelqu’un, ce quelqu’un tient le téléphone, et le second facteur prouve qu’il est présent.

Les comptes professionnels partagés cassent chaque morceau de cette hypothèse. Le compte de facturation chez un prestataire de paiement, le compte publicitaire que possède un client, le bureau d’enregistrement où vivent les domaines, le profil social depuis lequel trois personnes publient : un seul identifiant, et plusieurs utilisateurs légitimes. Personne n’a rien fait de mal, et pourtant le second facteur est maintenant dans la poche d’une seule personne.

Ce que les équipes tentent d’habitude

Faire tourner le téléphone

Une personne installe l’application d’authentification et lit les codes à qui en a besoin. Ça marche, et pour une équipe de trois dans la même pièce, ça peut suffire longtemps.

Ce que ça coûte : cette personne devient une dépendance. On lui demande des codes pendant ses congés, en réunion, et à 23 h quand un déploiement est bloqué. Si elle perd son téléphone, ou s’en va, l’équipe n’a plus aucun moyen d’entrer. Le compte doit être récupéré plutôt qu’ouvert.

Partager une capture du QR code

Quelqu’un capture le QR code de configuration et le publie dans un canal ou sur un disque partagé pour que chacun enrôle sa propre application.

Ce que ça coûte : le QR code est le secret, sous forme visuelle. Une fois publié, vous ne savez plus combien de copies existent. Il est dans un historique de conversation, dans la recherche de messages, dans les sauvegardes que garde la plateforme, et sur le téléphone de tous ceux qui l’ont scanné un jour, y compris ceux qui sont partis depuis. Rien dans le compte ne vous signale que c’est arrivé, et rien d’autre qu’une réinitialisation de la 2FA ne le défait.

Mettre le secret TOTP dans le gestionnaire de mots de passe partagé

L’équipe a déjà un coffre, alors le secret va s’y ranger à côté du mot de passe.

Ce que ça coûte : moins que la capture d’écran, et c’est une organisation raisonnable pour une petite équipe. Mais elle réunit les deux facteurs dans un seul contenant. Qui peut ouvrir cette entrée a le mot de passe et peut produire les codes, ce qui est la définition d’un facteur unique avec des étapes en plus. L’accès y est aussi tout ou rien : ceux qui peuvent lire l’entrée peuvent lire le secret, et la plupart des coffres enregistrent qu’une entrée a été ouverte, pas qu’un code précis a servi.

Imprimer les codes de récupération

Les codes de secours sont rangés quelque part où l’équipe peut les atteindre.

Ce que ça coûte : les codes de récupération sont faits pour servir une fois, en cas d’urgence. Comme méthode d’accès quotidienne, ils s’épuisent, et rien ne dit qui a consommé lequel. Utiles en bris de glace, inutilisables comme mode de travail.

Ce que « en toute sécurité » veut dire ici

Quatre propriétés méritent qu’on y tienne, et elles décrivent assez bien un compte partagé dont vous gardez la main.

Personne n’a besoin du secret pour obtenir un code

Si les gens peuvent lire le code courant sans pouvoir le reproduire plus tard, un portable perdu ou un prestataire qui s’en va cesse d’être un incident. Le secret reste à un seul endroit et n’est jamais distribué.

L’accès est par personne et par compte

Le graphiste qui publie sur le compte social n’a rien à faire à produire des codes pour le prestataire de paiement. Un accès à tout le coffre rend cette distinction impossible à exprimer.

Chaque consultation est enregistrée

Quand quelque chose tourne mal sur un compte partagé, la première question est de savoir qui y avait accès à ce moment-là. Elle n’a de réponse que si les lectures ont été journalisées quand elles ont eu lieu. La reconstituer après coup depuis un historique de conversation n’est pas une réponse.

Un départ est une révocation, pas une migration

Si un départ signifie réinitialiser la 2FA sur onze comptes parce qu’un ancien collègue a scanné onze QR codes, la plupart des équipes s’en dispenseront sans le dire. Retirer l’accès d’une personne devrait être une action unique qui ne change rien pour les autres.

Comment Share Auth s’y prend

Share Auth est un coffre pour les codes plutôt que pour les secrets. Vous ajoutez un compte une fois, et les personnes que vous invitez voient le code à six chiffres courant avec son décompte, pas la chaîne dont il vient. Les secrets sont chiffrés au repos, les permissions sont accordées membre par membre, et chaque consultation est écrite dans un journal d’accès que vous pouvez relire. Retirer un membre retire son accès, sur tous les comptes, d’un coup. Rien n’a à être reconfiguré pour ceux qui restent.

C’est toute l’idée, et elle est volontairement étroite : ça ne remplace pas votre gestionnaire de mots de passe, et ça ne remplace pas le SSO là où le SSO existe.

Par où commencer

Vous n’avez pas à régler ça compte par compte pour toute l’entreprise.

1. Listez les comptes partagés qui bloquent vraiment des gens. En général quatre ou cinq : les paiements, le cloud, le bureau d’enregistrement, le principal profil social, un tableau de bord client.
2. Regardez lesquels gèrent le SSO sur votre forfait. Ceux-là se règlent autrement, et mieux.
3. Pour les autres, décidez où vit le secret. Un seul endroit, tenu par les personnes qui administrent le compte.
4. Donnez à tous les autres l’accès aux codes, pas au secret, et gardez le journal.
5. Réinitialisez la 2FA sur tout compte dont le QR code a été publié quelque part. On ne dé-partage pas un secret : considérez-le comme compromis et repartez de zéro, une fois.

Le but n’est pas de rendre la connexion plus difficile. Il est de faire en sorte que la personne qui tient le téléphone puisse partir en vacances.