Les mots de passe seuls ne suffisent pas. Le phishing, le bourrage d'identifiants et les fuites de bases de données signifient que même des mots de passe forts et uniques peuvent être compromis. L'authentification à deux facteurs ajoute une deuxième couche : quelque chose que vous avez (votre téléphone) en plus de quelque chose que vous savez (votre mot de passe).
FLIN implémente TOTP en quatre fonctions intégrées :
flin// Générer un secret
secret = generate_totp_secret()
// Générer l'URL du code QR
qr_url = totp_qr_url(secret, "[email protected]", "MyApp")
// Vérifier un code à 6 chiffres
is_valid = verify_totp(secret, "483927")
// Générer des codes de secours
codes = generate_backup_codes(10)La vérification accepte les codes du pas temporel actuel, du précédent et du suivant (une fenêtre totale de 90 secondes). Cela compense la dérive d'horloge entre le serveur et le téléphone de l'utilisateur.
Les codes de secours sont hachés avant stockage (parce qu'ils sont équivalents à un mot de passe). Si la base de données est compromise, l'attaquant ne peut pas utiliser les codes de secours directement.
Le flux de connexion avec 2FA
- L'utilisateur envoie e-mail et mot de passe.
- Si le mot de passe est correct et la 2FA activée, le serveur retourne un token temporaire de courte durée.
- Le client affiche l'écran de saisie 2FA.
- L'utilisateur entre son code TOTP (ou code de secours).
- Le serveur vérifie le code et émet le token d'accès complet.
L'implémentation TOTP de FLIN, c'est quatre fonctions, zéro dépendance et un protocole standard qui fonctionne avec chaque application d'authentification existante. Le développeur n'a pas besoin de comprendre HMAC, SHA-1, la troncation dynamique ou l'encodage Base32. Il appelle les fonctions, et la sécurité est là.
Ceci est la partie 110 de la série "How We Built FLIN", documentant comment un CEO à Abidjan et un CTO IA ont conçu et construit un langage de programmation à partir de zéro.
Navigation de la série : - [109] Rate Limiting and Security Headers - [110] Two-Factor Authentication (TOTP) (vous êtes ici) - [111] OAuth2 and Social Authentication - [112] WhatsApp OTP Authentication for Africa