Sécurité de la connexion

Changer votre mot de passe, configurer la validation en deux étapes, définir la politique de mots de passe et de verrouillage et lever un verrouillage.

Kyvernon protège la connexion par une politique de mots de passe, des limites sur les tentatives échouées et la validation en deux étapes pour les administrateurs. Chaque personne peut changer son propre mot de passe et configurer la validation en deux étapes ; modifier la politique nécessite le privilège Kyvernon.Identity.ManagePolicy, et lever un verrouillage nécessite Kyvernon.Identity.ManageUsers. Les politiques sont conservées dans le store répliqué et s'appliquent sur chaque contrôleur.

Dans la console

Changer votre mot de passe

Ouvrez le Menu utilisateur en haut à droite.

(Agrandir)
Fermer la vue agrandie
Sélectionnez Changer le mot de passe. La boîte de dialogue Changer votre mot de passe demande le mot de passe actuel et le nouveau, saisi deux fois.

(Agrandir)
Fermer la vue agrandie
Sélectionnez Changer le mot de passe.

Changer le mot de passe met fin à toutes les sessions du compte, et la console vous en ouvre une nouvelle. Un compte qu'un administrateur a marqué pour renouvellement doit choisir un nouveau mot de passe à la prochaine connexion, sur la page Choisir un nouveau mot de passe, avant que quoi que ce soit d'autre fonctionne.

Un mot de passe compte 12 à 256 caractères, sans règle sur les lettres, les chiffres ou les symboles. Kyvernon refuse un mot de passe qui figure sur la liste des mots de passe courants, ou un mot courant entouré de chiffres, de symboles ou de substitutions de lettres ; qui répète un caractère ou un groupe ; qui suit une suite du clavier ou de l'alphabet ; qui contient le nom d'utilisateur ; ou qui est identique au mot de passe actuel. Une phrase de passe de plusieurs mots est plus facile à retenir qu'un mot de passe court avec des symboles.

Configurer la validation en deux étapes

Les administrateurs se connectent avec un mot de passe et un code. Tant qu'un administrateur ne l'a pas configurée, la session n'accède qu'à la configuration.

Connectez-vous avec le nom d'utilisateur et le mot de passe. Après le changement de mot de passe, la page Configurer la validation en deux étapes apparaît.
Scannez le code QR avec une application d'authentification sur votre téléphone, ou saisissez dans l'application la clé affichée sous le code.
Saisissez le Code de l’application et sélectionnez Activer la validation en deux étapes.
Sur la page Enregistrez vos codes de récupération, sélectionnez Copier les codes et conservez les codes dans un gestionnaire de mots de passe, ou imprimez-les. Sélectionnez J’ai conservé ces codes en lieu sûr, puis Continuer. Les codes s'affichent une seule fois, et chacun ne fonctionne qu'une fois.

À chaque connexion suivante, la page Validation en deux étapes demande le code à six chiffres après le mot de passe.

Quand le téléphone est perdu, saisissez un code de récupération à la place du code de l'application. Quand le téléphone et les codes de récupération sont perdus, un administrateur sélectionne Réinitialiser la validation en deux étapes pour l'utilisateur sur l'écran Utilisateurs, et l'utilisateur configure à nouveau la vérification à la prochaine connexion ; voir Utilisateurs et groupes.

Les codes sont des mots de passe à usage unique basés sur le temps, à six chiffres et par pas de 30 secondes, comme les produit toute application d'authentification. Kyvernon accepte un pas de décalage d'horloge, et un code ne fonctionne qu'une fois. Par défaut, tout utilisateur qui détient Authorization.ModifyPermissions, Global.Settings ou Kyvernon.Identity.ManageUsers sur la racine doit se vérifier avec un code. Les utilisateurs qui se connectent par un fournisseur d'identité sont vérifiés par le fournisseur, et les comptes de service et les jetons d'API n'ont pas de seconde étape.

Définir la politique de mots de passe et de verrouillage

Ouvrez le Menu utilisateur, sélectionnez Administration, puis dans la liste de gauche sélectionnez Politique de mots de passe et de verrouillage.

(Agrandir)
Fermer la vue agrandie
Sous Longueur des mots de passe, définissez le Mot de passe le plus court et le Mot de passe le plus long. Le mot de passe le plus court compte au moins 12 caractères, et le plus long au plus 256, de sorte que la politique peut relever le minimum mais pas l'abaisser. Sélectionnez Enregistrer.
Sous Verrouillage, définissez Échecs de connexion qui verrouillent et la Fenêtre de comptage (minutes), ainsi que le nombre de minutes après lequel un compte verrouillé est libéré de lui-même. Sélectionnez Enregistrer.

Par défaut, dix tentatives échouées, avec un mot de passe ou un code, en 15 minutes verrouillent un compte pendant 15 minutes. La fenêtre et la durée du verrou sont des minutes entières, jusqu'à sept jours. Une adresse depuis laquelle l'utilisateur a terminé une connexion au cours des 90 derniers jours ne verrouille pas le compte, mais reste soumise aux délais ci-dessous. La politique s'applique aux comptes locaux ; les comptes qui se connectent par authentification unique suivent la politique du fournisseur d'identité.

Lever un verrouillage

Un compte verrouillé affiche Verrouillé dans le tableau de l'écran Utilisateurs. Sélectionnez Actions dans sa ligne, choisissez l'action qui lève le verrouillage et confirmez. L'utilisateur peut réessayer immédiatement au lieu d'attendre la fin du verrou.

Résultat

La nouvelle politique s'applique au prochain changement de mot de passe et à la prochaine connexion échouée. Kyvernon ralentit aussi les attaquants sans révéler quels comptes existent. Après 20 échecs depuis une même adresse en 15 minutes (une adresse IPv6 compte comme son préfixe /64), les tentatives suivantes depuis cette adresse attendent un délai qui commence à une seconde et double jusqu'à 15 minutes. Après 3 échecs pour un même nom d'utilisateur depuis une même adresse, le même délai s'applique à cette paire. La réponse est error.auth.rate_limited. Tout autre refus donne une seule réponse, error.auth.invalid_credentials, quelle qu'en soit la raison.

Automatisation

Avec la CLI

La CLI lit les mots de passe dans la variable d'environnement KYVERNON_PASSWORD ou sur l'entrée standard, jamais sur la ligne de commande. Quand le compte a la validation en deux étapes, fournissez le code avec la connexion :

Shell

kyvernon login j.smith --code <code> --save
kyvernon auth password
kyvernon auth totp enrol
kyvernon auth totp confirm <code>
kyvernon users set-password-policy --min-length 14
kyvernon users set-lockout-policy --max-failed-attempts 8

auth password lit le mot de passe actuel et le nouveau sur deux lignes. totp enrol affiche le secret et l'adresse pour l'application d'authentification, et totp confirm affiche une seule fois les dix codes de récupération. kyvernon auth totp recovery-codes <code> crée de nouveaux codes, et les anciens cessent de fonctionner. kyvernon users unlock j.smith lève un verrouillage. kyvernon users password-policy et kyvernon users lockout-policy affichent les politiques.

Avec l'API

POST /v1/auth/login démarre une connexion par navigateur et POST /v1/auth/mfa la termine avec pendingToken et code ou recoveryCode ; la première étape est valable 5 minutes. POST /v1/auth/password change le mot de passe, et POST /v1/auth/totp/enrol et POST /v1/auth/totp/confirm configurent la vérification. Les clients programmatiques utilisent POST /v1/identity/login et POST /v1/identity/mfa/complete. Les politiques sont GET et PUT /v1/identity/password-policy et GET et PUT /v1/identity/lockout-policy, et nécessitent Kyvernon.Identity.ManagePolicy.

Durées de session et autres paramètres

Ces paramètres se trouvent dans la section [identity.policy] de la configuration du contrôleur, et le contrôleur est redémarré après une modification.

Paramètre	Valeur par défaut	Signification
`session_idle`	15 minutes	Une session prend fin après cette durée sans activité.
`session_absolute`	12 heures	Durée de vie maximale d'une session interactive.
`api_session_absolute`	24 heures	Durée de vie maximale d'une session programmatique.
`mfa`	`required_for_admins`	`required_for_admins` ou `optional`.
`facade_login`	`role_assigned`	Qui peut se connecter avec un mot de passe sur les points d'accès programmatiques : `role_assigned`, `service_accounts` ou `api_token`.

Le compte de secours (break-glass) à utiliser quand le fournisseur d'identité est indisponible a sa propre sous-section : ses sessions durent une heure, son mot de passe doit être changé après chaque utilisation, et il exige un code sauf si cela est désactivé pour lui.

Jetons d'API pour l'automatisation qui ne peut pas répondre à un code.
Authentification unique permet de se connecter avec un fournisseur d'identité.
Dépannage de l'identité pour les connexions refusées.