Google Authenticator synchronise ses codes 2FA dans un compte Google
Google apporte à l'application Authenticator une fonction attendue depuis belle lurette : une nouvelle icône la synchronisation des codes de connexion uniques ! Ces codes OTP (one-time password) font office de deuxième facteur d'authentification (2FA) pour bon nombre de sites et de services web. Ils étaient jusqu'à présent stockés dans l'appareil, mais en cas de perte ou de vol, bim, on perdait aussi tous ces codes OTP.
Le support de la synchronisation dans le nuage de Google réduit à néant cet inconvénient. Pour en profiter, il faudra saisir les identifiant et mot de passe de son compte Google dans l'application. Il reste possible de se servir de l'application « en solo », sans se connecter à un compte Google. Sinon, Authenticator s'offre aussi une nouvelle icône plus dans le ton des apps actuelles de Google :
MS le propose depuis un petit moment … et je trouve l’icône de MS plus évocatrice de la fonction 😉
Vive Authy ! 👍
@NOTJOJO
Bien de ton avis. Et puis au moins on ne dépend pas de Microsoft ou Google pour la sauvegarde de ses OTP. Après perso, mes OTP sont générés par 1Password, je préfère avoir tout dans 1 seule appli.
@BigBen_082
Moi mes MDP et OTP sont gérés par MS authentificator, je préfère tout gérer dans une application gratuite.
@Adodane
L’essentiel est que chacun s’y retrouve 😋
@NOTJOJO
Non pas vive Authy, c’est de la merde et c’est closed source, vive RaivoOTP
@nicolaspatate
Vive 2FAS ? C'est (devenu) opensource et il y a une extension pour navigateur qui permet communiquer avec l'iPhone pour remplir le code, c'est pratique ☺️
@NOTJOJO
Oui en effet Authy ce n’est ni M$ ni Goo
Ils espionnent quoi à partir de cette fonctionnalité ?
Il est aussi possible de garder le code unique au chaud ailleurs et en sécurité ou pareil avec le QR code. On peut aussi récupérer le code à partir du QR code lui même au chaud en sécurité.
Je ne comprends pas : si c’est du one-time password, ça ne sert qu’une fois. A quoi bon, alors, le conserver ? On parle bien des codes qu’on reçoit par SMS pour se connecter à des sites ?
@cricri13009
Oui mais au lieu de le recevoir par SMS c'est un code qui est généré par l'application. C'est plus que préférable d'un point de vue sécurité que le SMS.
Peux tu expliquer cela clairement?
Avant: je veux me connecter, il m'envoie un mot de passe par SMS qui dure deux minutes.
Maintenant: j'ai un code sur l'application? ?? Ça apporte quoi? Le SMS n'est pas sécurisé?
Si je perds mon téléphone, le code n'est plus valide deux minutes après de toutes façons...
@Godverdomme
Plusieurs choses :
- le SMS n’est effectivement pas si sécurisé que ça. Il existe des techniques pour cloner y’a carte SIM et recevoir tes SMS. C’est pas simple à mettre en place mais tout à fait faisable. Le SMS est déconseillé comme second facteur d’authentification
- les applications qui fournissent des OTP sont bien plus sécurisées. A partir d’un code unique complexe (ou d’un QR Code pour faire plus simple) elles vont te générer continuellement un code à 6 chiffres valable 30s. C’est ce code à 6 chiffres qui sert de second facteur d’authentification.
- xe que propose enfin Google Authenticator c’est de synchroniser le code complexe sur le cloud de manière à ce que tu ne le perdes pas quand tu changes de téléphone par exemple. C’était lr principal problème de cet outil jusqu’à présent
- pour encore plus de sécurité tu peux utiliser des clés de sécurité physique (yubikey ou Google titan par exemple) comme second facteur d’authentification
Merci
@cricri13009
Ça conserve les sites internet ( Facebook, Plex,PayPal, etc) qui ont été configurés dans autentificator, du coup on n'a pas a passer par le processus ( chiant) pour les reconfigurer sur un autre smartphone ou tablette.
Savez-vous que IOS et macOS gèrent parfaitement les codes 2FA nativement ? Une fois bien paramétré on n'a plus besoin de ses applis sauf pour se connecter à partir d'un matériel qui ne nous appartient pas.
Le mode d'emploi ici : https://youtu.be/kMgChpZ_1SU
@powergeek
Non ! Ça sert de lire les commentaires ! Merci du tuyau 😺😺
(ah ben y'a eu un article de Mickaël lors de la sortie de Monterey, mais j'étais passé à côté 😅)
@powergeek
J'ai configuré quelques codes directement dans le trousseau d'iOS pour voir (j'ai récemment viré Google Authenticator pour le remplacer par 2FAS), et pour l'instant ça marche vraiment nickel, sur Safari macOS les mots de passe puis OTP sont automatiquement remplis via TouchID 👍
Par contre je vois deux limitations pour le moment.
D'abord, comme d'habitude, ces champs qui n'utilisent pas l'identification correcte (genre Facebook m'a affiché un espèce de pop up avec de gros carrés, que Safari ne reconnaît pas, et là il faut aller dans le trousseau sur iOS — et si ça fonctionne bien manuellement, Facebook dit qu'il n'est pas compatible avec ce système 🤔).
Ensuite, et c'est plus gênant, je n'ai pas trouvé comment récupérer la clef de configuration via le trousseau, donc une fois qu'on utilise cette solution, à moins de noter la clef quelque part, on ne peut plus récupérer (ou exporter via QR code par exemple) cette clef pour utiliser un autre système (comme je viens de le faire pour pouvoir tester la solution du trousseau iOS/macOS), et ça, ça craint (mais j'ai peut-être raté quelque chose !).
J'utilise Step two qui synchronise via icloud entre mon iPhone, mon ipad et mon Mac.
Bonne nouvelle !
Si on perd son tel ou l’app est présente et que l’authentification en 2 facteurs est activée sur le compte google on fait comment ?
Il faut le code pour se connecter au compte google, mais il faut se connecter au compte google pour avoir le code. Y’a une solution ?
Normalement, le service génère une dizaine de codes de secours à usage unique lors de l'activation du 2FA.
Ces codes ne sont pas temporaires: ils sont valables jusqu'à renouvellement (qu'on peut faire quand on veut).
Évidemment, il faut garder bien à l'abri ces codes de secours !
J'utilise une note sécurisée dans mon gestionnaire de mot de passe pour les conserver.
@TiTwo102
Oui car avant que le service ne valide le 2FA, il te fournit une liste de mot pouvant déverrouiller le compte si jamais vous avez ce problème. À vous de les sauvegarder quelque part.
Vive Raivo sur iOS et Aegis sur Android
J’utilise StepTwo qui est synchronisé avec iCloud sur tous mes appareils 👍
Je sais un peu HS, mais la charte graphique des icones Google est à mon goût moche et pire que tout mauvaise en terme de design/reconnaissance. Tout se ressemble et il faut lire en dessous de l'icone pour savoir ce que c'est. Bizarre car je trouve Material You assez réussi...
Il était déjà possible d’exporter les 2fa par poignée de 10 vers un autre appareil mobile. Mais merci pour l’info c’est très utile. Surtout pour apprendre à reconnaître la nouvelle icône lol
Je suis étonné que personne n’est cité l’application DuoMobile.
Il me semble qu’elle stock directement dans le cloud une sauvegarde des clés.
J’aimerais bien migrer un jour sur une app hébergée sur mon synology… et au passage l’auto complétion me fait de l’œil aussi.
2FAuth est l'app qu'il vous faut si vous souhaitez auto-héberger votre solution 2FA : https://docs.2fauth.app/
C'est une webapp, cela demandera donc un peu de manip pour la mettre en œuvre mais rien de sorcier. Et si vous avez un Syno qui gère Docker il y a une image qui vous facilitera le déploiement : https://hub.docker.com/r/2fauth/2fauth
NB: J'en suis le développeur
@bubka
Ça veut dire que si ma connexion est morte à la maison ou que mon nas a un souci, je serai mort ? Ou ça aura impact que sur les ajouts/suppressions de clés ?
Il faut que le NAS et sa connexion soient opérationnelles en effet sinon l'app n'est pas utilisable du tout, il n'y a pas de mode hors-ligne pour l'instant.
Pour Bitwarden, non pas d'interfaçage.
Également, est-ce interfacable avec Bitwarden que j’heberge déjà ?
Le mode hors ligne absent … j’attendrai cette fonctionnalité avant de franchir le pas.
Je me le note. Merci pour tes conseils et réponses rapides.
@ablyes
Tu parles de Google Authenticator ? Tu as lu ça où ? On peut pas lire les codes si le tel est sans réseau ou en mode avion ?
Non, on parlait de 2Fauth. Pas d’inquiétude.