Las contraseñas se filtran. Se reutilizan en otro sitio que sufre un robo, se apuntan donde no deben, se adivinan. Si la contraseña de quien gestiona tus servidores basta para pararlos o borrar sus copias, el problema no es si pasará, sino cuándo. AWS lo sabe y recomienda MFA en la consola; lo que no cubre es a las personas de tu equipo que no tienen cuenta de AWS y a las que les has dado acceso de otra forma.
En Simplio el doble factor es un código de seis cifras que genera una aplicación en tu móvil (Google Authenticator, Microsoft Authenticator o cualquiera compatible). Se pide para entrar y, además, en cada acción delicada: detener o reiniciar una máquina, borrar ficheros, instantáneas o copias, subir código a una función Lambda, quitar un registro DNS, abrir una terminal, usar la llave de repuesto. Una contraseña robada, sola, no sirve para tocar nada.
Comment ça marche
Chaque utilisateur l'active depuis son profil
Scannez un QR code avec l'application du téléphone et confirmez avec le premier code. À partir de là, la connexion demande le code.
Les actions sensibles le demandent toujours
Arrêter, redémarrer, supprimer, envoyer du code, ouvrir un terminal, secourir une machine. Même si vous venez de vous connecter. Même si vous êtes administrateur.
Sans devenir pesant
Après un code correct, Simplio ne le redemande pas pendant dix minutes ; à partir du troisième de la même session, pendant deux heures. Cette confiance ne vit que dans votre session : elle prend fin à la déconnexion, en cas d'expiration par inactivité, si votre adresse IP change ou si quelqu'un saisit un code incorrect. Supprimer des objets du cloud exige toujours de saisir leur nom. Si vous quittez l'ordinateur, verrouillez-le.
Si vous perdez le téléphone, vous ne perdez pas le compte
À l'activation, vous recevez huit codes de récupération à usage unique à conserver en lieu sûr : n'importe lequel permet de se connecter à la place du code du téléphone, et depuis le profil vous configurez le nouveau téléphone. Si vous ne les avez pas non plus, un administrateur de votre entreprise peut retirer votre double authentification, ou vous le demandez vous-même avec votre mot de passe et un code de votre e-mail : dans ce cas, il y a deux jours d'attente avec avis à tous les administrateurs, qui peuvent l'annuler. Rien de tout cela ne se fait instantanément ni par e-mail seul.
Celui qui administre les utilisateurs voit qui l'a
Dans la liste des utilisateurs, on voit qui a la double authentification activée et qui ne l'a pas, pour relancer ceux qui manquent.
Quelle sécurité offre-t-il
Sans exception pour les administrateurs
Les actions sensibles demandent le code à tout le monde. Plus quelqu'un peut faire, plus cela compte.
Des codes à usage unique
Chaque code ne vaut qu'une fois et pendant quelques secondes. Un code aperçu par-dessus l'épaule ne sert plus une minute plus tard.
L'e-mail ne remplace jamais le téléphone
Récupérer le mot de passe par e-mail demande toujours le code du téléphone si vous l'avez activé. Celui qui lit votre boîte mail n'entre pas pour autant.
Les activations et désactivations sont consignées
Dans le journal d'activité, avec qui et quand. Désactiver la double authentification de quelqu'un ne passe pas inaperçu.
La même chose, dans AWS et dans Simplio
| Par vous-même dans AWS | Dans Simplio | |
|---|---|---|
| Protéger ceux qui gèrent les machines | MFA dans IAM, utilisateur par utilisateur, si chacun a un utilisateur IAM | L'activer dans le profil, avec un QR |
| Demander un code avant d'arrêter une machine | Impossible : avec une session ouverte, la console arrête sans rien demander | Toujours, pour chaque action sensible |
| Savoir qui l'a activée | Rapport d'identifiants IAM | Liste des utilisateurs |
Essayer gratuitement 15 jours Voir comment fonctionne Simplio
Questions fréquentes
De quelle application ai-je besoin ?
N'importe quelle application de codes TOTP : Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden… C'est le même mécanisme que celui qu'utilisent les banques et Google.
Et si je perds mon téléphone ?
Celui qui administre les utilisateurs peut retirer votre double authentification pour que vous la reconfiguriez sur le nouveau téléphone. Cette désactivation est consignée dans l'activité.