Labomedia Ressources

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
===== Comment sécuriser une session GNOME avec une double authentification par TOTP ? =====
Pour protéger un ordinateur d'un accès indélicat quand on est sorti 5 minutes, un mot de passe est indispensable.

Mais le mot de passe de session peut avoir été compromis, par exemple espionné visuellement.

Pour s'en protéger, on peut donc utiliser une double authentification (2FA - Two Factor Authentification), via un code/jeton à 6 chiffres qui change toutes les 30 secondes (TOTP- Time based One Time Password).

==== Installer une application de gestion des jetons ====
Il s'agit d'installer sur un autre appareil que l'ordinateur en question une application qui gère les jetons utilisés pour déverrouiller l'ordinateur.

Ainsi il faudra disposer des deux appareils pour déverrouiller l'ordinateur.

Comme une application de ce type doit IMPÉRATIVEMENT être libre et maintenue (conditions nécessaire à sa sécurité), et idéalement disponible sur un magasin d'applications libres, on utilisera [[https://getaegis.app/|Aegis Authenticator]], disponible sur [[https://f-droid.org/en/packages/com.beemdevelopment.aegis/|F-droid]]

Cette application va stocker les clefs secrètes permettant de générer les jetons. Elle stockera ces clefs dans un fichier chiffré à l'aide d'un [[https://ressources.labomedia.org/un_bon_mot_de_passe|bon mot de passe]], déchiffrable avec votre code PIN ou votre empreinte digitale par exemple.

==== Installer un module PAM Google Authenticator sur l'ordinateur ====
Votre Linux utilise probablement [[https://fr.wikipedia.org/wiki/Pluggable_Authentication_Modules|PAM]] (Pluggable Authentication Modules) pour gérer ses différents schémas d'authentification.
Il s'agit de lui ajouter un module supportant les TOTP. Actuellement il semble n'y avoir qu'une implémentation aboutie, élaborée par [[https://github.com/google/google-authenticator-libpam|Google]], mais qui repose sur le standard TOTP RFC 6238.

Dans un terminal, tapez :
<code>
sudo apt install libpam-google-authenticator
</code>
puis suivez les instructions (plusieurs options intéressantes, en anglais).

Lorsque le QR Code (contenant la clef secrète qui permet de générer les jetons TOTP) apparaît, scannez-le avec votre application mobile de gestion de jetons.

Vous avez désormais dans votre application mobile un TOTP de 6 chiffres qui changent toutes les 30 secondes.

==== Ajouter PAM Google Authenticator à l'ouverture de session GNOME ====
Il s'agit de configurer GDM (Gnome Display Manager) afin qu'il demande, en plus du mot de passe de session, le TOTP configuré dans votre application de gestion de jetons.

<WRAP center round important centeralign>
ATTENTION ! Si vous faites cela, vous ne pourrez plus vous connecter à votre session sans votre application de gestion de jetons !
</WRAP>

Dans un terminal, tapez :
<code>
echo 'auth required pam_google_authenticator.so' | sudo tee -a /etc/pam.d/gdm-password
</code>

Fermez votre session et reconnectez-vous.

**Et voilà !** Après avoir tapé votre mot de passe de session, un code de vérification vous est demandé !