Un mot de passe compromis ne doit jamais entraîner la compromission de l'infrastructure. Protéger uniquement par un nom d'utilisateur et un mot de passe une plateforme capable d'effacer des serveurs bare metal ou d'accéder à des clés cryptographiques relève de la négligence.
StateWarden impose une vérification d'identité rigoureuse via son moteur d'authentification multifacteur (MFA) dédié. Nous utilisons des mots de passe à usage unique basés sur le temps (TOTP), associés à des politiques d'exécution intelligentes et sensibles au contexte.
1. Inscription obligatoire
StateWarden ne considère pas la MFA comme une fonctionnalité « optionnelle » pour les comptes administrateurs. Selon la posture de sécurité de votre Realm, les utilisateurs peuvent être contraints de configurer la MFA dès leur première connexion, avant d'obtenir l'accès au Dashboard.
Le processus de configuration
- Un QR code cryptographique, généré localement dans le navigateur, est présenté à l'utilisateur.
- Il le scanne avec une application d'authentification TOTP standard (par exemple Google Authenticator, Microsoft Authenticator ou Authy).
- Après vérification réussie du premier jeton, StateWarden génère et affiche de manière sécurisée 10 codes de récupération à usage unique.
Critique : si un utilisateur perd son appareil d'authentification, ces codes de récupération sont son seul moyen de récupérer l'accès. Le support StateWarden ne peut pas contourner la MFA d'un compte.
2. La politique MFA à trois états
Demander un code à 6 chiffres à un administrateur à chaque clic provoque une fatigue d'alerte et dégrade l'expérience utilisateur.
StateWarden résout ce problème avec une logique MFA à trois états, configurable par le propriétaire du Realm dans les paramètres de sécurité.
État 1 : OFF
- La MFA n'est pas imposée globalement pour les actions du Realm. (Remarque : les utilisateurs individuels peuvent néanmoins avoir activé la MFA sur leur compte personnel pour la connexion initiale.)
- Non recommandé pour les environnements de production.
État 2 : SMART (le standard « Detroit »)
- Période de grâce contextuelle : lorsqu'un administrateur tente une action hautement destructive ou sensible (par exemple supprimer une sauvegarde, générer un jeton BMR, provisionner une clé maître), la WebAPI StateWarden émet une contestation
403 Forbidden. - Le Dashboard intercepte cette contestation et demande le code MFA de l'utilisateur via notre fenêtre modale Intervention MFA.
- En cas de succès, l'utilisateur bénéficie d'une période de grâce de 5 minutes. Il peut exécuter d'autres actions critiques dans cette fenêtre sans être sollicité à nouveau.
État 3 : ALWAYS (mode Paranoïa)
- Période de grâce quasi nulle : une fenêtre de validation stricte de 30 secondes s'applique (contre 5 minutes en mode SMART).
- Chaque action destructive ou cryptographique exige un nouveau code TOTP, quel que soit le moment où le dernier code a été fourni.
- Conçu pour les environnements ultra-sécurisés de type « air-gapped » ou les opérations soumises à des audits stricts.
3. Intervention MFA (authentification renforcée)
L'architecture de StateWarden part du principe que l'application frontend est hostile (« Never Trust the Client »).
Lorsque vous configurez la politique MFA sur SMART ou ALWAYS, la logique de décision réside entièrement sur le serveur backend.
- Le Dashboard tente d'exécuter une action protégée, par exemple la suppression d'une sauvegarde.
- Le backend revérifie côté serveur l'horodatage de votre confirmation MFA par rapport à la politique stricte du Realm.
- Si la confirmation est absente ou expirée, le backend rejette catégoriquement la requête.
- Le Dashboard intercepte ce rejet, interrompt visuellement le flux de travail de l'utilisateur avec une boîte de dialogue haute priorité, collecte le code TOTP de manière sécurisée, confirme l'élévation d'authentification auprès du backend, puis relance automatiquement la requête de suppression d'origine.
L'utilisateur ne perçoit qu'une seule boîte de dialogue de confirmation ; l'application de la politique reste entièrement côté serveur. Le backend revérifie l'horodatage MFA sur chaque requête protégée, de sorte qu'un client modifié ou malveillant ne peut pas contourner ce contrôle.
StateWarden : la résilience par l'ingénierie.