Authentification à deux facteurs (MFA)

Configurer et gérer l’authentification à deux facteurs dans VergeOS à l’aide d’applications d’authentification TOTP ou de codes de vérification par e-mail, y compris les paramètres globaux et par utilisateur.

L’authentification à deux facteurs (également connue sous le nom d’authentification multifacteur ou MFA) est une option fortement recommandée qui ajoute une couche de sécurité supplémentaire importante aux connexions des utilisateurs. Lorsque l’authentification à deux facteurs est activée, la connexion nécessite une autorisation via l’adresse e-mail de l’utilisateur ou un programme d’authentification TOTP, en plus du nom d’utilisateur et du mot de passe.

Authentification à deux facteurs à l’aide d’une application TOTP

L’utilisateur utilise une application d’authentification TOTP, généralement installée sur son appareil mobile, comme Google Authenticator ou Microsoft Authenticator. L’utilisateur configurera VergeIO comme compte dans son application d’authentification ; cela peut être fait facilement en scannant le code QR fourni depuis l’interface utilisateur de VergeOS. Ensuite, l’application d’authentification générera en continu un nouveau code à saisir par l’utilisateur lors de la connexion. Chaque code généré par l’application TOTP n’est généralement valide que pendant 30 secondes ou moins.

Authentification à deux facteurs à l’aide de l’e-mail

La première fois qu’un utilisateur lance une connexion depuis un nouvel appareil, un code de sécurité est envoyé à l’adresse e-mail de l’utilisateur. Ce code doit ensuite être saisi pour terminer le processus de connexion. En option, l’utilisateur peut choisir de stocker le code de sécurité sur l’appareil local, afin qu’il soit récupéré automatiquement lors des connexions ultérieures depuis ce même appareil local. (Cette fonction est destinée aux appareils personnels, tels que l’ordinateur domestique d’un utilisateur, son ordinateur portable personnel, son téléphone portable, etc.)

Méthode TOTP recommandée

• Le TOTP offre un niveau de sécurité bien plus élevé, car il ne repose pas sur un compte e-mail, qui peut être compromis. Le TOTP est généré sur un appareil séparé, comme un téléphone portable, ce qui le rend plus difficile à intercepter pour les attaquants.

• L’authentification multifacteur basée sur TOTP peut fonctionner sans connexion Internet une fois la configuration terminée, tandis que l’e-mail nécessite un accès Internet pour recevoir les codes de vérification.

• L’authentification multifacteur basée sur l’e-mail (plutôt que sur TOTP) ne devrait généralement être envisagée que pour des comptes à faible accès et non critiques.

Paramètres système pour l’authentification à deux facteurs

Pour accéder à ces paramètres, accédez à Système > Paramètres > Paramètres avancés.

1. Authentification à deux facteurs :

   • Désactivé par défaut (off) - les nouveaux utilisateurs sont créés avec l’authentification à deux facteurs désactivée ; elle peut éventuellement être activée par utilisateur.

   • Activé par défaut - les nouveaux utilisateurs sont créés avec l’option d’authentification à deux facteurs activée ; l’option peut être désactivée par utilisateur.

   • Obligatoire - tous les utilisateurs sont automatiquement configurés pour utiliser l’authentification à deux facteurs ; l’option ne peut être désactivée pour aucun utilisateur.

2. Délai d’expiration de l’authentification à deux facteurs pour les codes temporaires (secondes) : par défaut = 300 secondes (5 min) - Ce paramètre détermine la durée de validité d’un code de sécurité. Par exemple, avec le paramètre par défaut de 300 secondes, le code doit être saisi dans les 5 minutes (300 secondes) suivant son émission.

3. Délai d’expiration de l’authentification à deux facteurs pour les appareils utilisateur authentifiés (0 pour jamais expirer) : par défaut = 7 884 000 secondes (environ 91 jours) - Ce paramètre détermine la durée pendant laquelle un code de sécurité est stocké sur l’appareil local de l’utilisateur. Par exemple : sur un système où le paramètre est modifié à 864000 ; un utilisateur se connecte à un ordinateur portable, utilise le code de sécurité reçu par e-mail et sélectionne l’option intitulée "Cet ordinateur est privé" ; le code de sécurité est stocké et appliqué automatiquement pour l’utilisateur sur cet appareil pendant 864000 secondes (10 jours), de sorte que l’utilisateur n’aura pas besoin de récupérer le code de sécurité dans l’e-mail et de le saisir à nouveau lors de toutes les tentatives de connexion au cours des 10 jours suivants. Si le paramètre système est défini sur 0, les codes de sécurité stockés localement n’expirent jamais.

Activer l’authentification à deux facteurs pour un utilisateur

Si le paramètre système : Authentification à deux facteurs est défini sur Obligatoire, tous les utilisateurs ont automatiquement l’authentification à deux facteurs activée et l’option n’apparaît pas dans le formulaire de modification de l’utilisateur.

1. Dans le menu supérieur, accédez à Système > Utilisateurs.

2. Cliquez pour Sélectionnez l’utilisateur souhaité.

3. Cliquez sur Modifier dans le menu de gauche.

4. Sélectionnez l’option de case à cocher Authentification à deux facteurs.

5. Le Adresse e-mail le champ devient obligatoire lorsque l’authentification à deux facteurs est activée. Vérifiez qu’une adresse e-mail valide et accessible est saisie pour l’utilisateur, car les codes de sécurité (nécessaires à la connexion) seront envoyés à l’adresse e-mail spécifiée.

6. Cliquez sur Soumettre pour enregistrer la modification.