Partager les codes Google Authenticator en équipe

Google Authenticator n’a aucune fonction de partage, et ce n’est pas un oubli : l’application est faite pour une personne et ses propres appareils. Il y a donc trois façons pour une équipe d’obtenir les codes d’un compte qui y est enrôlé, et une seule tient à l’échelle.

Vous pouvez lire le code à qui en a besoin. Vous pouvez copier le secret sur le téléphone de chacun, ce qui est permanent et incomptable. Ou vous pouvez déplacer le secret du compte vers quelque chose de conçu pour plusieurs personnes, et garder Google Authenticator pour vos propres connexions. Cet article parle surtout de la troisième, parce que la première ne survit pas à des vacances et que la seconde ne survit pas à un départ.

Ce pour quoi Google Authenticator est fait

L’application détient des secrets sur un appareil et en calcule des codes. Elle sait synchroniser ces comptes vers vos autres appareils via votre compte Google, et elle propose un moyen de transférer les comptes quand vous changez de téléphone.

Ce dont elle n’a aucune notion, parce que ça n’a jamais été prévu :

• Des gens autres que vous. Pas de membres, pas de rôles, pas d’invitations.
• Un accès qu’on peut retirer. Rien n’enregistre quels appareils détiennent un secret, donc rien ne peut en désenregistrer un.
• Une trace d’utilisation. Aucun journal de quel code a été lu, par qui, quand.
• Une portée. Un compte est dans l’application ou n’y est pas ; aucun moyen d’en accorder un sans les autres.

Rien de tout ça n’est un reproche. Pour votre propre messagerie, votre banque et vos connexions cloud, c’est le bon outil, et cet article ne vous suggère pas de le désinstaller.

Les trois choses que les gens appellent « partager Google Authenticator »

Lire le code à voix haute

Quelqu’un qui a l’application lit six chiffres à un collègue, au téléphone ou dans un message.

Ça partage la chose éphémère et rien d’autre, ce qui en fait la plus sûre des trois. Ses limites sont pratiques : il faut deux personnes disponibles au même instant, rien n’enregistre qui s’est connecté, et une personne devient la porte d’entrée de toutes les autres. Très bien comme service occasionnel, coûteux comme mode de travail.

Laisser tout le monde scanner le même QR code de configuration

À l’enrôlement, le QR code est montré à toute l’équipe pour que chacun ajoute le compte à sa propre application. La disponibilité est réglée instantanément.

Ce qui s’est réellement passé, c’est que le second facteur du compte a été dupliqué sur un nombre inconnu d’appareils, plus leurs sauvegardes et toute synchronisation d’authentification que ces personnes ont activée. Il n’existe aucune liste des détenteurs, et le seul moyen d’invalider les copies est de désactiver la 2FA sur le compte et de la reconfigurer pour tout le monde.

Se servir du transfert pour mettre les comptes sur le téléphone d’un collègue

Le flux d’export ou de transfert existe pour déplacer vos propres comptes vers votre propre nouveau téléphone. Pointé vers l’appareil d’un collègue, il fait exactement ce que fait le QR code partagé, c’est-à-dire copier des secrets, avec quelques étapes en plus et une impression plus forte de suivre une procédure approuvée.

L’effet est identique, et ça mérite d’être dit sans détour : toute méthode qui fait produire les codes de façon indépendante par une seconde application a transmis l’identifiant lui-même. Il n’en existe aucune version révocable.

Pourquoi partager un compte Google n’est pas la réponse

Puisque la synchronisation existe, le raccourci tentant est un compte Google pour l’équipe, avec Authenticator dessus et les identifiants dans le coffre commun.

Ça échange un compte partagé contre un pire. Ce compte Google devient un point de défaillance unique détenant tous les seconds facteurs que vous possédez, il a sa propre 2FA à régler, et plusieurs personnes qui s’y connectent depuis des endroits différents, c’est exactement le motif auquel réagit la protection des comptes grand public, au moment précis où vous avez le plus besoin d’un code. Ça entraîne aussi tout le reste de ce qui est attaché au compte.

Si un identifiant partagé est inévitable, l’objectif est d’en avoir moins et de garder chacun d’eux étroit. Concentrer tous vos seconds facteurs dans un compte grand public est le geste inverse.

Que faire à la place, dans l’ordre

1. Vérifiez si la plateforme peut donner à chacun son propre accès. Les consoles cloud, les régies publicitaires, les prestataires de paiement et les business managers le peuvent souvent. Chacun enrôle alors son propre second facteur dans son propre Google Authenticator et il n’y a plus rien à partager. C’est la seule option qui supprime le problème au lieu de le gérer.

2. Pour les comptes qui n’ont vraiment qu’un identifiant, déplacez le secret vers un endroit que l’équipe peut atteindre. Pas un téléphone : un endroit, avec un accès par personne aux codes qu’il produit et une trace de qui les a lus. La comparaison des approches disponibles est dans les meilleures façons de gérer la 2FA d’un compte partagé, et la façon de décider quel compte va dans quel panier est dans la 2FA d’un compte partagé : comment une équipe devrait-elle s’y prendre ?.

3. Gardez Google Authenticator pour les connexions personnelles. Les comptes propres à chacun restent exactement là où ils sont.

Sortir un compte partagé du téléphone d’une personne

Le réflexe est d’exporter le secret hors de l’application pour l’importer ailleurs. N’organisez pas la migration là-dessus. Réenrôler chez le fournisseur est plus propre, réversible, et ça invalide les copies qui existent déjà, ce qui est en général la vraie raison de faire le travail.

1. Choisissez un moment calme. Pendant le quart d’heure que ça prend, le second facteur du compte est instable.
2. Ayez d’abord les codes de récupération en main. Si le fournisseur refuse de les réafficher, générez-en une nouvelle série avant de toucher à quoi que ce soit.
3. Désactivez la 2FA sur le compte, dans les réglages de sécurité du fournisseur. Toutes les copies existantes de l’ancien secret cessent de fonctionner ici, y compris celle du téléphone qui le détenait.
4. Réactivez-la, et enrôlez la nouvelle destination : saisissez le secret une fois dans le coffre partagé, ou scannez le QR code avec lui.
5. Vérifiez qu’un code fonctionne depuis le nouveau domicile avant de fermer l’onglet.
6. Accordez l’accès aux personnes qui ont besoin des codes, une par une.
7. Rangez les nouveaux codes de récupération ailleurs que dans le compte qu’ils récupèrent.
8. Retirez le compte du téléphone qui le détenait, et de toute autre application dont vous savez qu’elle l’a dupliqué.

L’étape 8 est du rangement, pas de la sécurité : les copies sont mortes à l’étape 3. Ce qui compte, c’est que l’entrée cesse de trôner avec un air d’autorité tout en produisant les codes d’un secret qui n’existe plus.

Faites-le d’abord sur un compte sans enjeu. La procédure est courte, mais le premier passage trouve toujours quelque chose de propre à votre fournisseur.

Ce qui change pour la personne qui avait l’application

Son téléphone cesse d’être une infrastructure. Elle garde Google Authenticator pour ses propres connexions, on cesse de lui écrire pour des codes pendant ses vacances, et son départ cesse d’être un événement qui impose de réinitialiser la 2FA sur onze comptes.

Ce dernier point est celui à avancer quand on vous objecte que l’organisation actuelle marche très bien. Elle marche très bien jusqu’à ce que la personne qui la porte soit injoignable, ou partie, et ces deux événements-là se préparent maintenant plutôt qu’ils ne se découvrent plus tard.

Où Share Auth se place

Share Auth, c’est l’étape 2. Le secret de chaque compte partagé est saisi une fois et chiffré au repos, les membres invités voient le code courant et son décompte plutôt que le secret, les permissions se règlent par membre et par compte, et chaque consultation est écrite dans un journal d’accès. Retirer un membre retire son accès partout d’un coup, sans rien à reconfigurer pour ceux qui restent.

Ce fonctionnement est décrit de bout en bout sur la page application d’authentification partagée.

Il n’a rien à dire sur vos connexions personnelles, qui ont leur place dans l’application d’authentification de votre propre téléphone, Google Authenticator compris.