Hello,

Même fabricant mais en TOTP : https://www.token2.com/shop/category/c301-tokens

Facile à configurer et fiable.

Pierre

De : Ivanov 69ivanov@gmail.com Envoyé : mercredi 6 septembre 2023 18:05 À : frsag@frsag.org; Pierre DOLIDON sn4ky@sn4ky.net Objet : [FRsAG] Re: Token Hardware MFA pas cher ...

Hello,

Je te conseil : https://www.token2.com/shop/product/token2-t2f2-fido2-and-u2f-security-key

Fido2 frendly 13,5€ la clef. Yoan

Le 6 septembre 2023 17:15:48 GMT+02:00, Pierre DOLIDON <sn4ky@sn4ky.netmailto:sn4ky@sn4ky.net> a écrit : Un tel pro a chaque salarié... comme y'a du télétravail & cie, ça les aides à recevoir les appels et a avoir un backup 4G au cas où leur internet résidentiel est HS

Le 06/09/2023 à 16:10, SIMANCAS Hugo a écrit : Bonjour,

Qu'utilisez-vous-en pas cher comme token hardware MFA compatible Office 365...pour les utilisateurs ne souhaitant pas utiliser leur tel perso ?

Merci d'avance

Hugo

_______________________________________________

Liste de diffusion du %(real_name)s

http://www.frsag.org/

Bonsoir,

si vous voulez du fabriqué en France, je conseille https://neowave.fr/fr/

Clément.

Le mer. 6 sept. 2023 à 21:34, Fabien Schwebel fabien.schwebel@gmail.com a écrit :

Hello, quitte à avoir des clefs physique je ne vous conseille vraiment pas de faire du TOTP, c'est super dommage de ne pas profiter de l'état de l'art qu'est FIDO2. Le TOTP ne protège pas du phishing, contrairement à FIDO2. O365 supporte FIDO2 (avec qq bidouilles pour les applis Android par ex). Je ne connaissais pas token2, qui est vraiment pas cher effectivement. Le leader du marché reste Yubico, c'est de très bonne qualité mais c'est bien plus cher.

On Wed, Sep 6, 2023, 19:09 A5sys Informatique informatique@a5sys.com wrote:

...

Hello,

Même fabricant mais en TOTP : https://www.token2.com/shop/category/c301-tokens

Facile à configurer et fiable.

Pierre

*De :* Ivanov 69ivanov@gmail.com *Envoyé :* mercredi 6 septembre 2023 18:05 *À :* frsag@frsag.org; Pierre DOLIDON sn4ky@sn4ky.net *Objet :* [FRsAG] Re: Token Hardware MFA pas cher ...

Hello,

Je te conseil : https://www.token2.com/shop/product/token2-t2f2-fido2-and-u2f-security-key

Fido2 frendly 13,5€ la clef. Yoan

Le 6 septembre 2023 17:15:48 GMT+02:00, Pierre DOLIDON sn4ky@sn4ky.net a écrit :

Un tel pro a chaque salarié...

comme y'a du télétravail & cie, ça les aides à recevoir les appels et a avoir un backup 4G au cas où leur internet résidentiel est HS

Le 06/09/2023 à 16:10, SIMANCAS Hugo a écrit :

Bonjour,

Qu'utilisez-vous-en pas cher comme token hardware MFA compatible Office 365...pour les utilisateurs ne souhaitant pas utiliser leur tel perso ?

Merci d'avance

Hugo

---

Liste de diffusion du %(real_name)s

http://www.frsag.org/

---

Liste de diffusion du %(real_name)s http://www.frsag.org/

---

Liste de diffusion du %(real_name)s http://www.frsag.org/

Demander à un salarié d'utiliser son matériel personnel ce n'est pas normal. Je ne connais pas les textes de lois là-dessus, mais je déconseille vivement.

Petite anecdote, entreprise qui fait un renouvellement ISO 27k1, l'auditeur se rend compte de l'usage d'un smartphone par un directeur. Il regarde les documents et voit qu'il y a quelques tels pros déclarés. Il demande à voir l'inventaire des tels pros. Il fait ses recherches et passe à autre chose.

Quelques jours plus tard, fin d'audit, à priori tout est en ordre, le directeur le raccompagne, dans l'ascenseur l'auditeur demande pourquoi son téléphone n'est pas dans l'inventaire, le directeur dit que c'est son personnel, l'auditeur relève que les textes de l'entreprise interdisent les BYOD. Il demande à consulter le téléphone, le directeur lui déverrouille et il constate qu'il y a les emails pros, la téléphonie IP, les contacts / agenda pro, le partage de documents avec accès à tout.

Au moment de sortir, l'auditeur lui dit qu'il conclura l'audit par une non conformité majeure, le directeur en question étant impliqué dans la gestion / animation du SMSI. Il a rouspété en disant qu'il n'a pas envie d'avoir deux téléphones mais ça n'a eu aucune influence sur la décision.

Sinon pour revenir au 2FA, si les ordis sont chiffrés, que personne d'autre que l'utilisateur connait les mots de passe de sa session, l'usage d'un 2FA sous forme de TOTP dans une application sur le poste de travail est largement suffisant.

Les tokens physiques, c'est bien, mais dans la réalité, il en faut 2 : 1 pour l'usage au quotidien et 1 avec une sauvegarde à mettre au coffre. Je vois beaucoup de perte de ces tokens ou même des casses, on le met au porte-clef et à force de se prendre des coups, ils cessent de fonctionner.

Il reste les tokens ultra-fin qu'on laisse en permanence dans le port usb, cela réduit la sécurité de la solution, donc autant faire du TOTP.

Email Signature Le 06/09/2023 à 23:28, DUVERGIER Claude a écrit :

La YubiKey est compatible Microsoft 365 (utilisée sur Ubuntu).

...

les utilisateurs ne souhaitant pas utiliser leur tel perso ?

On a le droit de demander aux utilisateurs d'utiliser leur téléphone personnel pour une activité professionnelle ?

Remarque : le jour où son téléphone perso a un soucis et qu'il ne peut donc plus se connecter au SaaS le service support lui réparera son téléphone perso :)