double authentification sans smartmachin sous GNU/Linux

[ignace72]

Bonjour à toutes et à tous.
Joomla a la double authentification, si j’ai bien compris avec un smartmachin (smartphone pour les intimes).
Y a-t-il y moyen de la faire sous GNU/Linux sans avoir un smartmachin ?
Si oui, comment faire cela ?
J’ai cherché par mes propres moyens, mais je n’y ai rien compris.
Si une bonne âme pouvait me guider pour faire cela ?
J’utilise Manjaro Linux.
Merci par avance.

[daneel]

Bonjour,

Oui, apparemment les clés YubiKey sont compatibles avec Linux (et certains ont confirmé qu'elles fonctionnent sous Manjaro). Voici quelques liens utiles :

• Installer le logiciel Yubico sous Linux
• Activer U2F sur Firefox
• WebAuthn.io

La clé de type fido2 offre une solution de sécurité pour les ordinateurs (PC/Mac/Linux), après je ne sais pas si elles sont toutes compatibles donc si on investis par exemple
dans la nitrokey fido2, il faut vérifier préalablement auprès du fabricant (oui c'est compatible linux). Certaines sont plus chères car elles intègrent d'autres mesures de sécurité comme le capteur d'empreinte.

ignace72 Comme tu l'as indiqué, les smartphones disposant d'une authentification par empreinte digitale ou reconnaissance faciale, il est possible d'activer le système de sécurité du téléphone ou de la tablette lors de la connexion via le navigateur du smartphone (l'authentification étant préalablement enregistré dans le profil sous joomla) .

Pour info on ne se limite plus à une double authentification, on a le passwordless (pas de mot de passe) et authentification multi-facteurs (MFA).

Par exemple, vous pouvez également choisir la confirmation par e-mail, ce qui vous permet d'essayer une autre méthode. Dans l'administration de joomla, modifiez votre compte en cliquant en haut à droite sur "menu utilisateur" puis "modifier le compte". Dans l'onglet "Authentification multi-facteurs", sélectionnez "ajouter un nouveau code par e-mail". Vous devriez alors recevoir un e-mail contenant le code à saisir pour confirmer cette méthode d'authentification. Lors de votre prochaine connexion, vous devrez entrer votre mot de passe, puis indiquer le code reçu par e-mail.

[ignace72]

À oui ! 25 euros pour une chtite clé USB, une bonne marge que voilà.
On sait tout de suite qui sont les pigeons !
L’authentification multifacteur est devenu optionnel pour payer en ligne (et oui, c’est le commerçant qui choisi s’il l’active ou non !) Elle n'est pas belle la vie ?)
On l’appelle aussi une double authentification, car seuls deux facteurs sont obligatoires dans la réglementation européenne.
Je note aussi que les téléphones sous KaiOS ayant aussi un magasin d’applications pourrait avoir aussi leur application bancaire, mais les pots-de-vin doivent être hors de portée de KaiOS.
Normal, un téléphone à 35 balles, les marges sont différentes.

[daneel]

euh, tu entends quoi par pigeon ? Tu connais le coût véritable de ces clés pour avoir cette certitude ?
Déjà il y a une multitude de clés, je t'ai donné simplement celles qui sont les plus connues.
Mais tu peux en trouver beaucoup moins cher en cherchant bien, simplement les garanties ne sont pas les mêmes et on est pas à l'abri de surprises (bonnes ou mauvaises).
que ce soit sur amazon ou aliexpress... Il faut arrêter de se stigmatiser chaque technologie et après tu est libre d'acheter ou non sous une marque x ou y et dans la configuration choisie (nfc, bluetooh, usb-c, etc...).
Tu peux retrouver différentes critiques sur internet.

J'ai beaucoup étudié les solokeys dont le principe génial est d'avoir une solution "open source" car j'avais envisagé de proposer une solution personnalisée à mes clients.
Simplement tout à un coût aussi bien sur le plan matériel que logiciel sans compter les frais de livraison. De plus, il y a eu une pénurie sur les puces, ce qui a mis à mal certaines sociétés et m'a refroidi sur le sujet.
Par exemple, une société emploie plusieurs personnes, qui après la pandémie se sont retrouvés en télétravail pour la majeure partie du temps (avec l'obligation de revenir au bureau 1 fois par mois) peut très bien avoir besoin
de sécuriser l'environnement de travail personnel (wifi de la maison, le pc perso ). Si l'entreprise leur fournit ce type de clé, cela évite un coté intrusif et peut accompagner d'une série de mesure complémentaire (firewall, etc.).

Alternativement, j'ai donc opté sur un mix entre l'authentification avec une application dédié sur smartphone et l'envoi mail/sms car je sais faire. J'utilise l'application spécifique du téléphone avec du geofencing.
Ainsi une connexion sur le pc avec une ip qui ne soit pas détecté dans les environs du tél pourra être rejeté selon les règles établies, le sms ou le mail sert uniquement en cas d'absence de l'application.
Je ne te donne pas une idée du prix du développement spécifique mais tu pense bien que l'on est loin de l'achat d'une petite clé.

Bref, j'étais pas obligé de te donner les infos, des explications sur le fonctionnement, je t'ai apporté les réponses ainsi que sur la compatibilité linux.
Peu importe si c'est du à ton état de santé comme tu l'as évoqué précédemment, j'ai déjà eu mon quota de mauvaise humeur cette semaine ou disons de mauvais karma.
Je laisserai donc à d'autres le soin de modérer si cela va trop loin.

[ignace72]

Je donne mon avis, je ne vois pas pourquoi un avis deviendrait comme par magie une certitude.
Mais c’est vrai que maintenant, c’est un crime de donner un avis.
Que fait la police ?

Bon, c’est vrai qu’il y a l’option du smartmachin…
Tout centraliser sur le même matériel, ce n’est pas très sécurisant en cas de vol en plus du coût d’appareils coûtant plusieurs centaines d’euros.

Ou as-tu vu que je stigmatisais une technologie, mais pour une technologie sous licence libre, je ne vois pas où est le coût en R&D !?
Pour un autre sujet, quand je paye une poêle CRISTEL France haut de gamme à 140 euros, je sais où passe mon argent avec un objet garantie à vie Origine France Garantie.

Pour la pénurie de puce, attends que la Chine attaque Taiwan et on pourra parler de pénurie de puce.
Surtout que la Chine sait parfaitement qu’elle n’a plus que quelques années pour le faire à cause de la décroissance invariable de sa population.

[daneel]

ok, pour ce qui est de yubikey, tu peux lire le blog pour comprendre : https://www.yubico.com/blog/secure-h...s-open-source/

De même, pour le projet SoloKey, voici un lien vers leur blog qui pourrait t'intéresser : https://solokeys.com/blogs/news/summ...nd-opportunity

Hélas, je me flagelle mentalement pour avoir dégainé la compatibilité linux et l'explication sur le multifacteur. Je voulais te guider sur les choix.

La solution d'authentification de Joomla n'a aucune relation avec les passerelles de paiements ou les obligations pour les commerçants. Je maîtrise bien ce sujet, mais cela ne concerne pas notre discussion.

Webauthn, c'est comme une boîte à outils de connexion, pas une pub déguisée pour vendre des clés à tour de bras. On peut même le désactiver si on veut ! Les gens et les boîtes qui se lancent là-dedans cherchent surtout à renforcer la sécurité, mais y'a de la concurrence, avec toutes sortes de technologies (empreinte, NFC, et j'en passe). T'as posé une question sur la compatibilité avec Linux, pas un appel à la chasse aux pigeons, ni une enquête sur une société qui ferait des galipettes avec du code libre pour faire des profits faramineux. Ils bossent dur et contribuent dans pas mal de projets open source, en redistribuant le taf des développeurs, s'il te plaît !

D'autre part, l'authentification par un code à six chiffres (l'autre méthode) ne nécessite pas obligatoirement de smartphone, car cela repose sur un script qui se synchronise avec le timecode. On parle de client OTP (One Time Password). On a donné google authenticator comme référence à l'apparition de cette technique mais vu que c'est libre nous préférons sous joomla parler d' "application d'authentification". Il existe de nombreuses applications disponibles sur toutes les plateformes, y compris windows, mac et linux. Il te suffit de faire une recherche pour trouver des solutions en tapant "client OTP".

En guise de conclusion (ce qui n'a rien à voir avec Joomla 4 mais que je mentionne quand même) :

• En ce qui concerne les smartphones, je te recommande de regarder du côté des Fairphone, les os comme lineage, E/OS, iodé ( https://iode.tech/ ) que nous utilisons.
• Pour les applications bancaires et autres, je te suggère de consulter magiskmanager.com ( https://www.youtube.com/watch?v=8o5YILpoIvs )

Tu disposes de toutes les informations nécessaires. Inutile d'en ajouter davantage, j'en resterai là.
Je vais réfléchir de mon côté pour savoir si je me suis trompé, si j'ai profité de la situation, ou si je suis simplement un peu naïf... ou peut-être les trois à la fois.


Rappel :

L'authentification multi-facteurs

L'authentification multi-facteurs fait référence à un processus d'authentification qui nécessite plusieurs éléments sécurisés pour accéder à une application.

Les trois principaux facteurs d'authentification sont les suivants :

• Quelque chose que vous connaissez
• Quelque chose que vous possédez
• Quelque chose que vous êtes

Quelque chose que vous connaissez sera lié à quelque chose comme un mot de passe. Il s'agit d'un secret que vous seul devriez connaître et qui est utilisé pour prouver votre identité. Dans le contexte des clés de passe, quelque chose que vous connaissez pourrait prendre la forme d'un code PIN utilisé pour déverrouiller le dispositif.

Quelque chose que vous possédez est un élément unique en votre possession. Dans le concept des clés de passe, cela fera référence à l'authentificateur ; que ce soit une clé de sécurité ou un authentificateur intégré dans un appareil personnel.

Quelque chose que vous êtes fait référence à un élément unique à votre personne. Cela concerne principalement les données biométriques. Cela pourrait inclure une empreinte digitale, un scan de votre visage, la détection de votre voix, ou même aller jusqu'à un test ADN.

La plupart des authentificateurs de clés de passe incluront au moins deux des facteurs mentionnés ci-dessus. Un utilisateur présentera quelque chose qu'il possède (l'authentificateur) et quelque chose qu'il connaît (code PIN) ou est (élément biométrique) pour compléter toute procédure d'enregistrement ou d'authentification.

[ignace72]

Bonjour, daneel.
Si tu le permets, je vais commencer par la fin.
Je crois que le problème vient plutôt de moi, car je dis les choses comme je les sens, brut de décoffrage, sans filtre.
Plus le temps de ménager la chèvre et le chou (dans le sens premier).

Pour le téléphone, j’ai un téléphone sous KaiOS haut de gamme d’une marque française (CrossCall) qui me satisfait très bien pour seulement 120 euros.
En plus, comme c’est un téléphone à touche, presque pas de risque de me le faire voler.
Le multifacteur y fonctionne très bien puisqu’il me permet d’avoir les deux premiers facteurs de la réglementation.
C’est quand même rigolo, une réglementation européenne optionnelle !

En aparté, c’est pénible que le forum me met un message d’erreur toutes les deux minutes alors que je suis en train d’écrire mon message m’obligeant de cliquer sur « Ok » à chaque fois.

Le point qui m’a fait tiquer, ce sont les Solokey et Yubikey qui brillent par leur fragilité.
Un truc aussi crucial devrait être construit comme un tank comme mes Corsair Flash Survivor Stealth.
Pour tester la chose, je me suis laissé tenter par la Nitrokey FIDO2 qui me semble plus solide que les Solo ou Yubi et au même prix que la Solo.
Elle est compatible avec GNU/Linux (même avec BSD) avec même une documentation en français sur le site.

Bonne journée à toi.

[ignace72]

Bonjour à toutes et à tous.
J’ai reçu ma clé Nitrokey FIDO2 ce jour.
Je ne pensais pas que cela serait aussi simple de mettre cela en place sur Joomla.
J’ai modifié mon mot de passe standard comme conseillé dans le tuto de Joomla.
Une entropie de 1 459 bits (d’après KeepassXC), ça devrait le faire.
Merci à toi, daneel pour ton aide.
Bonne journée.