Est-ce que certains d'entre vous ont investi dans des clés 2FA genre la Yubikey ?
Vous en pensez quoi ? ça vaut l'investissement à titre perso ?
Quel modèle est le plus intéressant ?
fail2ban> status sshd Status for the jail: sshd |- Filter | |- Currently failed: 21 | |- Total failed: 26742 | `- File list: /var/log/everything/current `- Actions |- Currently banned: 13 |- Total banned: 2921 `- Banned IP list:et désole c'est une complete disgression)
Nil (./7) :Je n’ai pas de secours par mot de passe. En revanche, en plus de la clef SSH sur ma YubiKey, j’ai une clef de secours dans une image disque chiffrée sur mon ordi/téléphone/iCloud.
Hm sauf qu'il y a des fois où permettre un failover avec juste le mot de passe est indispensable. Typiquement, le jour où tu te fais voler ton sac à l'étranger, t'as plus accès a rien :/
Mon mot de passe ssh fait plus de 20 caractères. On peut le cracker ou tomber dessus par hasard, certes, mais bon (et il est sur un port non standard, avec blocage de l'IP source au bout de 3 échecs).
Bref, les OTP m'ont toujours paru une bonne idée mais pas forcément dans toutes les situations.
flanker (./9) :Et comment tu fais pour accéder à iCloud ? Avec un mot de passe ? Parce que sinon, du coup, ta sécurité en prend un coup, quand-même.
iCloud
Nil (./10) :Double authent, mot de passe et périphérique autorisé (madame ou moi).flanker (./9) :Et comment tu fais pour accéder à iCloud ? Avec un mot de passe ? Parce que sinon, du coup, ta sécurité en prend un coup, quand-même.
iCloud
flanker (./11) :Vous vous considérez comme des périphériques ? Ça va un peu trop loin, le fanatisme Apple
périphérique autorisé (madame ou moi).
Nil (./12) :C'est comme toujours, tout dépend de la menace à laquelle tu veux répondre.
Du coup ça ne résout pas forcément le souci de vol (j'y pense suite à un vol en chambre d'hôtel à l'étranger surtout, même si c'est rare c'est là où en plus c'est là où tu peux en avoir le plus besoin, pour récupérer des scans de docs administratifs)
) par rapport au bénéfice sécurité/complexité. Mais peut-être que je suis complètement à côté de la plaque, hein, je l'admets.
Zeph (./17) :Par la force, peut-être pas, mais par d'autres moyens ?
Le risque de séquestration/vol de mot de passe par la force n'étant pas très réaliste dans mon cas
Godzil (./18) :Ce n'est pas mon mot de passe
"Je m'apelle Nil et j'aime les ours" n'est pas un mot de passe sécurisé.
Godzil (./18) :Plusieurs labos du CNRS ont développé des solutions différentes qui permettent de faire de l'OTP sur mot de passe (dans l'exemple en question c'est avec une librairie écrite spécifiquement pour OpenVPN https://conf-ng.jres.org/2015/document_revision_1994.html?download §5), ou en utilisant des grilles secrètes pour faire de l'OTP sans dispositif tiers [l'utilisateur doit juste connaître l'emplacement personnel des éléments de la grille) (https://conf-ng.jres.org/2015/document_revision_2104.html?download )
Imaginons le cas ou quelqu'un veux vraiment accéder a ton serveur et fait une attaque MITM avancé et vole ton mot de passe de cette manière. Il ne pourra pas récupérer de cette manière le code a rentrer car savoir quel code tu as tapé et quand n'est pas suffisant pour avoir la graine de la sequence.
Zeph (./17) :Il faut prendre en compte la possibilité de perdre la Yubikey (d'où la clef SSH de secours ou la possibilité de se connecter avec un mot de passe sur l'ordi, par exemple).
En tout cas je suis du même côté de la plaque que toi : je préfère de loin prendre le "risque" d'un mot de passe mais conserver la possibilité de me connecter à ce que je veux sans dépendre d'un matériel que je peux perdre. Le risque de séquestration/vol de mot de passe par la force n'étant pas très réaliste dans mon cas, je considère que ma mémoire est un endroit bien plus efficace qu'un objet physique pour conserver mes moyens d'accès !
). En professionnel, le compromis sera souvent différent, d'ailleurs.