Comme tu l’as dit, FIDO2 est une norme ouverte.
On peut donc utiliser des clés Yubikey, Nitrokey, ta Thetis PRO-A...
Mais on peut aussi utiliser des clés avec SEED, comme les clés Ledger.
Contrairement à une clé FIDO2 "classique", qui génère un secret interne aléatoire et non récupérable, une clé avec SEED repose sur une phrase secrète standardisée (généralement 12, 18 ou 24 mots).
Cette phrase — la seed — sert de secret maître.
Grâce à cette seed :
l’appareil peut reproduire exactement les mêmes secrets internes, même après réinitialisation ;
si tu perds la clé, tu peux en racheter une autre, y restaurer la seed, et régénérer le même secret ;
tu peux même avoir une seconde clé configurée avec la même seed pour faire un backup fiable.
C’est pour ça que les clés Ledger ne servent pas uniquement à la crypto : elles peuvent aussi être utilisées dans des scénarios de chiffrement comme DM-Crypt/LUKS avec FIDO2, tout en permettant une restauration fiable du secret si le matériel est perdu ou détruit.
Si vous souhaitez utiliser une clé Ledger, il faut bien sûr adapter la commande cryptenroll en modifiant :
--fido2-with-client-pin=false
En effet, sur une clé Ledger, la validation du PIN se fait physiquement sur l’appareil.
Personnellement, pour le chiffrement de mon disque, je préfère ce type de clé : le PIN est saisi directement sur l’appareil, ce qui élimine tout risque de keylogger côté système.
Il existe aussi des solutions open source pour les clés FIDO2, comme SoloKey ou Nitrokey (qui s’appuie d’ailleurs sur SoloKey).
Malheureusement, je n’ai trouvé aucune clé open hardware offrant le même fonctionnement qu’une Ledger, qui reste un produit intéressant... et en plus provenant d’une société française. 🇫🇷
# DM-CRYPT et FIDO2
Posté par gnuromain . En réponse au journal Les bases de l'authentification, clé de sécurité FIDO2 sous Linux et Windows. Évalué à 6.
Il n’y a pas que l’authentification : on peut aussi utiliser FIDO2 pour protéger des secrets et chiffrer son système.
Voici un petit script qui fonctionne parfaitement sous Debian 12/13 :
https://github.com/bertogg/fido2luks
Comme tu l’as dit, FIDO2 est une norme ouverte.
On peut donc utiliser des clés Yubikey, Nitrokey, ta Thetis PRO-A...
Mais on peut aussi utiliser des clés avec SEED, comme les clés Ledger.
Contrairement à une clé FIDO2 "classique", qui génère un secret interne aléatoire et non récupérable, une clé avec SEED repose sur une phrase secrète standardisée (généralement 12, 18 ou 24 mots).
Cette phrase — la seed — sert de secret maître.
Grâce à cette seed :
l’appareil peut reproduire exactement les mêmes secrets internes, même après réinitialisation ;
si tu perds la clé, tu peux en racheter une autre, y restaurer la seed, et régénérer le même secret ;
tu peux même avoir une seconde clé configurée avec la même seed pour faire un backup fiable.
C’est pour ça que les clés Ledger ne servent pas uniquement à la crypto : elles peuvent aussi être utilisées dans des scénarios de chiffrement comme DM-Crypt/LUKS avec FIDO2, tout en permettant une restauration fiable du secret si le matériel est perdu ou détruit.
Si vous souhaitez utiliser une clé Ledger, il faut bien sûr adapter la commande cryptenroll en modifiant :
--fido2-with-client-pin=false
En effet, sur une clé Ledger, la validation du PIN se fait physiquement sur l’appareil.
Personnellement, pour le chiffrement de mon disque, je préfère ce type de clé : le PIN est saisi directement sur l’appareil, ce qui élimine tout risque de keylogger côté système.
Il existe aussi des solutions open source pour les clés FIDO2, comme SoloKey ou Nitrokey (qui s’appuie d’ailleurs sur SoloKey).
Malheureusement, je n’ai trouvé aucune clé open hardware offrant le même fonctionnement qu’une Ledger, qui reste un produit intéressant... et en plus provenant d’une société française. 🇫🇷