Protection par mot de passe contournée :

FoxIDs peut rejeter les mots de passe figurant dans une base de données de mots de passe compromis ou piratés. Ce contrôle réduit le risque de réutilisation des mots de passe en comparant le hachage d'un mot de passe proposé aux mots de passe exposés lors de fuites de données connues.

Le jeu de données est importé une fois par déploiement FoxIDs dans le locataire principal et peut ensuite être activé par des politiques de mot de passe dans chaque locataire et chaque environnement. La validité des mots de passe est vérifiée localement par rapport aux hachages importés ; le mot de passe en clair n'est pas transmis à la source du jeu de données.

1) Télécharger les mots de passe à risque (pwned passwords)

Téléchargez les mots de passe pwned SHA-1 dans un seul fichier depuis haveibeenpwned.com/passwords en utilisant l’outil PwnedPasswordsDownloader.

Notez que le téléchargement de tous les mots de passe à risque prend un certain temps.

2) Importer les mots de passe à risque dans FoxIDs

Vous importez ensuite les mots de passe à risque avec l’application console du master seed tool FoxIDs.

Téléchargez le fichier FoxIDs.MasterSeedTool-x.x.x-win-x64.zip pour Windows ou FoxIDs.MasterSeedTool-x.x.x-linux-x64.zip pour Linux depuis la version FoxIDs et décompressez le master seed tool.

Configurer le master seed tool

Le master seed tool se configure dans le fichier appsettings.json.

L’accès pour importer les mots de passe à risque est accordé dans le tenant master.

Créez un client OAuth 2.0 du master seed tool dans le FoxIDs Control Client :

Cela accordera au master seed tool un accès complet à l’installation FoxIDs.

Connectez-vous au tenant master
Sélectionnez l’onglet Applications
Cliquez sur New Application
Cliquez sur Backend Application
1. Sélectionnez Show advanced
2. Ajoutez un Name par exemple Master seed tool
3. Changez le Client ID en foxids_master_seed
4. Cliquez sur Register
5. Mémorisez l’Authority.
6. Mémorisez le Client secret.
7. Cliquez sur Close
Cliquez sur l’application dans la liste pour l’ouvrir
Dans la section Resource and scopes
1. Retirez la coche de Default resource 'foxids_master_seed' for the application itself
2. Cliquez sur Add Resource and scope et ajoutez la ressource foxids_control_api
3. Cliquez ensuite sur Add Scope et ajoutez le scope foxids:master
Sélectionnez Show advanced
Dans la section Issue claims
1. Cliquez sur Add Claim et ajoutez le claim role
2. Cliquez ensuite sur Add Value et ajoutez la valeur de claim foxids:tenant.admin
Cliquez sur Update

FoxIDs Control Client - master seed tool client

Ajoutez votre endpoint FoxIDs Control API et l’Authority, le Client secret du master seed tool ainsi que le fichier local de mots de passe à risque (pwned passwords) dans la configuration du master seed tool.

"SeedSettings": {
    "FoxIDsControlEndpoint": "https://control.foxids.com", // self-hosted "https://control.yyyyxxxx.com" or local development https://localhost:44331
    "Authority": "https://id.foxids.com/zzzzz/master/foxids_seed/", // custom domain, self-hosted or local development "https://https://localhost:44331/zzzzz/master/foxids_seed/"
    "ClientId": "foxids_master_seed",
    "ClientSecret": "xxxxxx",
    "Scope": "foxids_control_api:foxids:master",
    "PwnedPasswordsPath": "c:\\... xxx ...\\pwned-passwords-sha1-ordered-by-count-v4.txt"
}

Exécuter le master seed tool

Démarrez une invite de commandes
Exécutez le master seed tool avec MasterSeedTool.exe
Cliquez sur R pour démarrer l’import des mots de passe à risque

L’import des mots de passe à risque prendra un certain temps.

3) Test

Ouvrez Paramètres > Mots de passe à risque dans le locataire principal FoxIDs Control Client pour consulter le nombre de hachages de mots de passe importés et vérifier si un mot de passe a été identifié dans des fuites de données.