Authentification à deux facteurs

L’authentification à deux facteurs protège les comptes même lorsqu’un mot de passe est volé ou deviné : après son mot de passe, l’utilisateur doit présenter un second facteur.

Elle s’applique aux comptes dont Cyberwatch vérifie lui-même le mot de passe, c’est-à-dire les comptes locaux et les comptes LDAP. Les comptes qui se connectent par SAML ou OpenID Connect s’appuient sur leur fournisseur d’identité, qui gère alors lui-même le second facteur.

Seconds facteurs disponibles

Second facteur	Fonctionnement
Application d’authentification	Une application comme Google Authenticator ou Microsoft Authenticator affiche un code à 6 chiffres, renouvelé toutes les 30 secondes (TOTP).
Clé d’accès	Le téléphone, l’ordinateur, le gestionnaire de mots de passe ou une clé de sécurité FIDO2 confirme l’identité de l’utilisateur par empreinte, visage ou code PIN (passkey, WebAuthn).
Codes de secours	Dix codes à usage unique, générés avec le premier second facteur, permettent de se connecter en cas de perte du téléphone ou de la clé.

Un utilisateur peut configurer une application d’authentification et plusieurs clés d’accès.

Prérequis des clés d’accès

Une clé d’accès est liée à l’adresse de Cyberwatch. Pour les utiliser :

Cyberwatch doit être ouvert par un nom de domaine en HTTPS, à l’adresse configurée pour le nœud dans Administration > Nœuds. Les clés d’accès ne fonctionnent pas lorsque Cyberwatch est ouvert par une adresse IP ;
le certificat TLS de Cyberwatch doit être reconnu par le navigateur ;
le navigateur doit être récent : Chrome ou Edge 129, Firefox 119, Safari 18.4 ou versions ultérieures.

Lorsque ces conditions ne sont pas réunies, l’application d’authentification reste disponible.

Changer l’adresse du nœud rend inutilisables les clés d’accès enregistrées pour l’ancienne adresse. Cyberwatch en avertit l’administrateur qui modifie l’adresse. Les utilisateurs concernés se connectent alors avec leur application d’authentification ou un code de secours, puis enregistrent une nouvelle clé d’accès.

Configurer son second facteur

Ouvrir son profil depuis le menu en haut à droite de l’interface
Dans l’encart « Authentification à deux facteurs », cliquer sur « Gérer »

Ajouter, remplacer ou retirer un second facteur, ou générer de nouveaux codes de secours, demande de confirmer son mot de passe. Cette confirmation reste valable 10 minutes.

Application d’authentification

Dans l’encart « Application d’authentification », cliquer sur « Configurer »
Scanner le QR code avec l’application, ou saisir la clé affichée sous le QR code
Saisir le code à 6 chiffres affiché par l’application, puis cliquer sur « Activer »

Les codes dépendent de l’heure. Si un code est refusé, comparer l’heure du téléphone avec l’heure du serveur affichée sous le formulaire : un écart de plus de 30 secondes empêche la vérification.

Clés d’accès

Dans l’encart « Clés d’accès », cliquer sur « Ajouter une clé d’accès »
Donner un nom à la clé, par exemple « Téléphone » ou « Clé de sécurité »
Cliquer sur « Créer la clé d’accès », puis suivre les instructions du navigateur

Chaque clé peut ensuite être renommée ou retirée depuis la même page.

Codes de secours

Les codes de secours s’affichent une seule fois, lors de la configuration du premier second facteur. Ils doivent être conservés en lieu sûr, par exemple dans un gestionnaire de mots de passe : les boutons « Copier dans le presse-papiers » et « Télécharger » facilitent leur enregistrement.

Chaque code ne sert qu’une fois. L’encart « Codes de secours » indique le nombre de codes restants, et le bouton « Générer de nouveaux codes » remplace tous les codes existants.

Notifications

Un e-mail prévient l’utilisateur lorsqu’un second facteur est ajouté ou retiré, que ses codes de secours sont régénérés, qu’un code de secours est utilisé ou qu’un administrateur réinitialise ses seconds facteurs. L’envoi nécessite un serveur SMTP configuré.

Se connecter

Après la saisie du mot de passe, Cyberwatch demande le second facteur :

cliquer sur « Utiliser une clé d’accès », si une clé a été enregistrée ;
ou saisir le code de l’application d’authentification ;
ou saisir l’un des codes de secours.

Après cinq codes ou clés refusés en 15 minutes, la saisie du second facteur est bloquée jusqu’à 15 minutes pour ce compte.

Connexion sans mot de passe

Un utilisateur local qui a enregistré une clé d’accès peut se connecter sans saisir d’identifiant ni de mot de passe, avec le bouton « Se connecter avec une clé d’accès » de la page de connexion. Le navigateur peut aussi proposer la clé directement dans le champ identifiant.

La clé d’accès vérifie alors l’identité de l’utilisateur par empreinte, visage ou code PIN, ce qui vaut authentification à deux facteurs.

Cette connexion n’est pas proposée aux comptes LDAP, dont le mot de passe doit être vérifié par l’annuaire à chaque connexion.

Imposer l’authentification à deux facteurs

Par défaut, l’authentification à deux facteurs est facultative. Pour l’imposer :

Se rendre dans le menu Administration > Fournisseurs d’identité > Configuration globale
Dans la section « Authentification à deux facteurs », choisir le second facteur :
- « Facultative » : chaque utilisateur choisit de configurer un second facteur ;
- « Imposée aux administrateurs » : les utilisateurs du rôle Administrateur doivent en configurer un ;
- « Imposée à tous les utilisateurs » : tous les comptes locaux et LDAP doivent en configurer un.
Cliquer sur « Sauvegarder »

Un utilisateur concerné qui n’a pas encore de second facteur doit en configurer un lors de sa prochaine connexion, avant d’accéder à Cyberwatch. Les sessions déjà ouvertes ne sont pas fermées.

Lorsque l’authentification à deux facteurs est imposée, un utilisateur ne peut pas retirer son dernier second facteur. Il peut en revanche le remplacer.

Avant d’imposer l’authentification à deux facteurs, il est recommandé que l’administrateur configure son propre second facteur. Un avertissement le lui rappelle dans la configuration globale.

Suivre l’adoption

La colonne « MFA » de la liste des utilisateurs indique qui a configuré un second facteur. Elle reste vide pour les comptes SAML et OpenID Connect ainsi que pour les comptes sans mot de passe.

L’attribut mfa_enabled de l’API /api/v3/users fournit la même information.

Réinitialiser les seconds facteurs d’un utilisateur

Lorsqu’un utilisateur a perdu son téléphone, ses clés d’accès et ses codes de secours, un administrateur peut réinitialiser ses seconds facteurs :

Se rendre dans le menu Administration > Utilisateurs
Ouvrir la fiche de l’utilisateur
Dans l’encart « Authentification à deux facteurs », cliquer sur « Réinitialiser », puis confirmer

L’utilisateur se connecte alors avec son seul mot de passe, puis configure un nouveau second facteur, lors de sa connexion si l’authentification à deux facteurs est imposée. La réinitialisation est inscrite dans le journal des actions et l’utilisateur en est prévenu par e-mail.

Un administrateur ne peut pas réinitialiser ses propres seconds facteurs depuis l’interface.