Nœuds : MFA TOTP

Enrôlement et vérification TOTP (RFC 6238), plus les nœuds transverses de choix/politique MFA, dans le cadre d’un graphe d’authentification.

1 2

TotpVerifierNode : vérifie un code TOTP avec tolérance de dérive d’horloge.

Outcomes : true / false / exceeded.

TotpSecretGeneratorNode : génère le secret TOTP et l’URI otpauth:// (première étape de l’enrôlement).

Outcome : outcome.

TotpEnrollCommitNode : persiste le profil d’appareil TOTP, qui porte le secret, en LDAP après vérification réussie, et génère les codes de récupération. Le profil est stocké en clair ou chiffré selon le service Authenticator (OATH) du royaume : voir Chiffrement des profils.

Outcome : outcome.

Chiffrement des profils#

L’attribut oathDeviceProfiles contient un profil par appareil : le secret TOTP et les empreintes des codes de récupération. Les nœuds TOTP l’écrivent et le lisent comme le module OATH des chaînes d’authentification, selon le service Authenticator (OATH) du royaume (Services du royaume) :

• Lecture des deux formes. TotpVerifierNode et RecoveryCodeVerifyNode lisent un profil en clair comme un profil chiffré : un utilisateur enrôlé par le module OATH se connecte par un graphe, et inversement.
• Profils déjà enrôlés. Quand le chiffrement est activé après coup, un profil en clair reste utilisable ; il est chiffré à la première vérification TOTP de l’utilisateur, ou à sa première utilisation d’un code de récupération.
• Service illisible. Si le service ou sa paire de clés ne peut pas être lu, l’enrôlement et la vérification échouent : aucun profil n’est écrit en clair par défaut.
• Désactivation. Un profil chiffré ne peut plus être lu si le schéma est remis à NONE : gardez le chiffrement tant que des profils chiffrés existent.

Avant la version 3.38.0, les nœuds TOTP ignoraient ce service : ils stockaient toujours le profil en clair et ne savaient pas lire un profil chiffré par le module OATH.

TotpQrCodeDisplayNode : envoie l’URI otpauth:// à l’UI via un HiddenValueCallback (id totpEnrollmentUri) pour affichage du QR code.

Outcome : outcome.

TotpRecoveryCodesDisplayNode : affiche les codes de récupération puis les efface du shared state.

Outcome : outcome.

RecoveryCodeVerifyNode : vérifie un code de récupération à usage unique, distingue un code invalide d’un code déjà consommé.

Outcomes : true / false / consumed.

MfaEnrollmentCheckNode : nœud silencieux qui vérifie l’enrôlement MFA et écrit SS_ENROLLED_METHODS pour MfaChoiceNode.

Outcomes : enrolled / notEnrolled.

MfaChoiceNode : présente un ChoiceCallback, intersecte les méthodes activées avec celles réellement enrôlées, et route automatiquement si une seule méthode est disponible.

Outcomes : totp / sms / email / passkey / push.

MfaPolicyDecisionNode : décide si le MFA est requis selon l’IP (CIDR), les groupes de l’utilisateur, ou une décision par défaut.

Outcomes : required / optional / exempt.