🛡️ Desktop-2FA

Un gestor seguro y offline de autenticación de dos factores (2FA) para entornos de escritorio. Construido con Python, con cifrado robusto y sin dependencias en la nube.

🌐 Página de inicio: desktop-2fa.org

---

✨ Características

Característica	Descripción
🔐 Seguridad del almacén	Cifrado AES-256-GCM con derivación de clave Argon2id
⏱️ Generación de TOTP	Generación de códigos compatible con RFC 6238
💻 CLI completa	Interfaz de línea de comandos completa para gestionar tokens
📋 Soporte de portapapeles	Copia automática de códigos TOTP al portapapeles
🔓 Diseño sin estado	Cada comando requiere autenticación explícita de contraseña
🛡️ Política de contraseñas	Aplicación de fortaleza de contraseñas configurable con zxcvbn
🧪 Bien probado	289 pruebas superadas con cobertura completa
📖 Modelo de seguridad	Análisis detallado de amenazas y documentación de diseño criptográfico

---

📸 Capturas de pantalla

Añadiendo una nueva entrada TOTP interactivamente

Generando un código TOTP para una entrada

Renombrando una entrada con detección de duplicados

Visualizando información de versión y listando todas las entradas

---

🚀 Inicio rápido

Instalación

pip install desktop-2fa

Verificar instalación:

python -c "import desktop_2fa; print(desktop_2fa.__version__)"
# Salida: 0.8.1dev

Uso básico

# Inicializar un nuevo almacén
d2fa vault init

# Añadir un nuevo token TOTP
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP

# Listar todas las entradas
d2fa vault list

# Generar un código
d2fa code GitHub

Uso no interactivo

# Proporcionar contraseña mediante línea de comandos
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password miclave

# Proporcionar contraseña mediante archivo
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password-file /ruta/al/archivo_de_clave.txt

---

📁 Ciclo de vida del almacén

El almacén es un archivo cifrado ubicado en ~/.desktop-2fa/vault.

Creación del almacén

Cuando un comando requiere un almacén y no existe:

1. La CLI solicita una nueva contraseña (modo interactivo) o requiere --password/--password-file (modo no interactivo)
2. Se crea un almacén cifrado vacío
3. Siempre se imprime un mensaje de confirmación: Almacén creado en <ruta>

Carga del almacén

Cuando un comando requiere un almacén y este existe:

1. La CLI solicita la contraseña existente (modo interactivo) o requiere credenciales (modo no interactivo)
2. El almacén se descifra y carga
3. Si la contraseña es inválida, la CLI termina con typer.Exit(1)

Manejo de entradas duplicadas

El comando rename aplica un comportamiento determinista cuando múltiples entradas coinciden con el nombre objetivo:

• Si varias entradas coinciden con el nombre proporcionado (issuer o account_name), el renombrado se cancela
• Mensaje de error: Error: Existen múltiples entradas llamadas '<nombre>'. Operación cancelada. Resuelve los duplicados primero.
• En este caso no se renombra ninguna entrada
• Esta verificación ocurre antes de cualquier mutación

---

📖 Comandos de la CLI

Comandos principales

Comando	Descripción
d2fa vault add <nombre> <emisor> <secreto>	Añadir una nueva entrada TOTP
d2fa vault list	Listar todas las entradas TOTP almacenadas
d2fa vault rename <antiguo> <nuevo>	Renombrar una entrada
d2fa vault remove <nombre>	Eliminar una entrada
d2fa code <nombre> [--copy|--copy-only]	Generar código TOTP con opciones de copia al portapapeles

Gestión del almacén

Comando	Descripción
d2fa vault init [--force]	Inicializar un nuevo almacén
d2fa vault unlock	Abrir almacén con advertencia de contraseña débil (si está configurado)
d2fa vault change-password	Cambiar la contraseña del almacén
d2fa vault backup	Crear una copia de seguridad cifrada del almacén
d2fa vault export <ruta>	Exportar almacén a un archivo
d2fa vault import <ruta> [--force]	Importar almacén desde un archivo

Opciones globales

Opción	Descripción
--password <pwd>	Proporcionar la contraseña del almacén directamente
--password-file <ruta>	Leer la contraseña del almacén desde un archivo
--json	Salida en formato JSON
--raw	Salida sin formato
--quiet	Suprimir salida no esencial
--copy	Copiar código TOTP al portapapeles y mostrarlo
--copy-only	Copiar código TOTP solo al portapapeles
--force	Forzar operación (omitir confirmaciones)

---

🔒 Seguridad

El almacén utiliza:

• AES-256-GCM para cifrado autenticado
• Argon2id para derivación de clave (time_cost=4, memory_cost=128MiB, parallelism=2)
• zxcvbn para evaluación de fortaleza de contraseñas
• Cabecera versionada para compatibilidad hacia adelante

Cada comando requiere autenticación explícita de contraseña. No hay acceso basado en sesiones.

Evaluación de fortaleza de contraseñas

Desktop-2FA utiliza zxcvbn para evaluar la fortaleza de la contraseña al crear o cambiar la contraseña del almacén:

• Puntuación 0-2 (Débil): Contraseñas fácilmente adivinables (ej.: "password123")
• Puntuación 3-4 (Fuerte): Resistentes a ataques comunes (recomendado)

Ejemplos:

• ❌ Débil: password, 123456, qwerty, admin2024
• ✅ Fuerte: Battery-Horse-Staple-Correct, Mountain@River*2024, MySecureVault#42

Configuración (~/.config/d2fa/config.toml):

[security]
# Requerir contraseñas fuertes (puntuación >= 3)
reject_weak_passwords = false  # advertir pero permitir | true: rechazar contraseñas débiles

Cuando reject_weak_passwords = false:

• Las contraseñas débiles generan una advertencia amarilla
• Se solicita al usuario que confirme la continuación
• La aceptación de la contraseña no es bloqueante

Cuando reject_weak_passwords = true:

• Las contraseñas débiles son rechazadas inmediatamente
• El comando termina con error
• El usuario debe elegir una contraseña más fuerte

Compatibilidad hacia atrás: Si tienes min_password_entropy configurado en tu archivo de configuración (opción heredada), se reconoce y se trata como equivalente a requerir una puntuación de zxcvbn >= 3.