La session Google et la clé du coffre jouent des rôles différents

Deux barrières, deux objectifs

Le coffre protège les secrets TOTP par chiffrement côté client. Sa phrase de déverrouillage et ses mécanismes de récupération servent à ouvrir les éléments ; une session Google valide ne fournit pas automatiquement cette clé.

La clé de récupération n'autorise pas non plus à contourner la session du compte distant. Les droits de consultation du service et le déchiffrement de données sont deux contrôles complémentaires.

Appareils de confiance et révocation

Un appareil peut conserver dans le navigateur une clé conçue pour être non extractible. Cette propriété ne prouve pas la présence d'un module matériel sécurisé ni l'impossibilité de compromettre un navigateur.

Révoquer un accès empêche l'utilisation future de la voie concernée côté service. Cela n'efface pas à distance les sauvegardes ou secrets qu'une autre personne aurait déjà copiés.

La notion de verrouillage a ses limites

En verrouillant le coffre, l'application retire les références de données ouvertes et arrête les opérations sensibles. Elle ne peut pas certifier un effacement physique immédiat de chaque copie en mémoire vive.

Un QR TOTP déjà divulgué reste une menace tant qu'il n'a pas été remplacé sur le site d'origine. Aucune certification CNIL ou ANSSI, ni absence absolue de risque, n'est revendiquée.

Réagir à la divulgation d'un QR d'authentification

Une image de configuration TOTP peut contenir le secret qui produit les prochains codes. Son retrait d'un message réduit la diffusion, mais ne rend pas inutilisable la clé qu'un tiers a déjà copiée.

Depuis le véritable site du fournisseur, préparez une voie de récupération puis remplacez la configuration du second facteur. Vérifiez un accès avec le nouveau code avant de supprimer l'ancien moyen qui fonctionne.

• Limiter les copies publiques de l'image.
• Renouveler le facteur auprès du compte concerné.
• Réexaminer sessions, appareils et codes de secours du fournisseur.

La machine qui ouvre le coffre reste importante

Le chiffrement côté navigateur protège les éléments pendant leur stockage et leur synchronisation, mais une extension malveillante peut tenter de voir des secrets déjà déchiffrés et affichés. Il faut donc éviter les profils partagés ou les ordinateurs peu fiables.

Une clé de navigateur conçue comme non extractible ne prouve pas l'existence d'un module matériel certifié. La révocation d'un appareil ne signifie pas non plus effacer toutes les copies déjà faites par un tiers.

Une clé de confiance signifie-t-elle « protégée par matériel » ?

Pas nécessairement. Non extractible dans le navigateur n'équivaut pas à un engagement de protection par matériel dédié.