Authenticator, generování dvoufaktorových kódů na Linuxu (diskuse)

[X]

Jde to nejak pouzit pro tu novou 2FA podminku na Gitu? Nebo obecne, lze pouzivat 2FA bez HW tokenu? Existuje nejaky CLI 2FA program propojitelny s Gitem?

[Max]

Co tím Gitem myslíš? Github nebo Gitlab? Jinak když nechceš hw token, tak obecně se to řeší přes OTP (One Time Password). Pro OTP (resp. nejlépe TOTP) pak můžeš použít např. Google Authenticator (cli by měl podporovat).
Zdar Max

[Xė]

Mam Github, ktery bude casem pozadovat 2FA. Nechci aplikaci do telefonu, SMS. Token zadny nemam. Uvazoval jsem o 'oathtool', ale myslel jsem, ze funguje jen jako prostrednik a nelze pouzit.

[Max]

Tak vymýšlet si nemůžeš. Můžeš si akorát vybrat z nabízených/podporovaných řešení.
Osobně nevím, jak 2FA u Githubu funguje, ale běžně jsou služby benevolentní a po prvním MFA ověření už další na daném stroji nechtějí. Tj. jakmile si zařízení ověříš jednou, google už po tobě nechce další ověření. To samé MS v jeho online světě.
Zdar Max

[X]

Tak jsem to zkusil a funguje lze to takto(Github):

- Vyberu 2FA pomoci aplikace.
- Misto nacteni QR kodu aplikaci, dam zobrazit "secret key":

oathtool -b --totp 'VVBZKIJ65FDZPA44'
947848

Vlozim 6-mistny vystup a hotovo. Vysledek je zapnute 2FA + dostal jsem sadu recovery kodu. Commity pres SSH funguji jako obvykle.

[X]

Tak jeste doplnuji, ze ten "secret key" je potreba si ulozit taky a nasledne si pri prihlasovani vygenerovat novy 6-mistny kod.

[X]

Jeste dodatek. Recovery-kodu je 16 a kazdy je platny pouze jednou(je mozne si vygrnerovat novou sadu).

[petr_p]

Však TOTP má specifikaci na jednu stránku. Nechápu, proč lidi potřebují na každou pitomost aplikaci. Z TOTP 2FA nijak nevyplývá. Já jsem si na Githubu zaregistroval TOTP seed, který mám na pracovní stanici zašifrovaný pomocí PGP a vyrábím z něj kódy jednořádkovým skriptem v Perlu. TOTP má implementaci v kdejakém jazyku. Jedu takhle už několik let.

Až po mně zaměstnavatel bude chtít opravdové 2FA (a ne jen parodii dalším heslem, což softwarové TOTP je), tak ať mi koupí třeba FIDO token. Ale vzhledem k tomu, že pro přístup do firemní VPN jsem kdysi dostal hardwarový generátor TOTP, který má oddělené rozhraní z principu, ale noví zaměstnanci „dostávají“ ke stejnému účelu aplikaci do telefonu, tak mám podezření, že faktické zabezpečení firmu netankuje a že zvítězila lenost.

[Max]

Není to tak, že by aplikace v telefonu byla na nic. Je to o posouvání míry zabezpečení. Jinými slovy, aplikace v telefonu není zbytečnost a nějakou úroveň bezpečnosti navíc to přidá. A nestojí to litra jako hw token, který ti budou lidé ztrácet.
Ale jinak ano, mít něco zabezpečeného znamená mít hw token alá FIDO2.
Zdar Max