🛡️ Desktop-2FA

Un gestore sicuro e offline per l'autenticazione a due fattori (2FA) per ambienti desktop. Costruito con Python, con crittografia avanzata e nessuna dipendenza dal cloud.

🌐 Pagina Web: desktop-2fa.org

---

✨ Funzionalità

Funzionalità	Descrizione
🔐 Sicurezza del Vault	Crittografia AES-256-GCM con derivazione della chiave Argon2id
⏱️ Generazione TOTP	Generazione di codici conforme a RFC 6238
💻 CLI Completa	Interfaccia a riga di comando completa per la gestione dei token
📋 Supporto Appunti	Copia automatica dei codici TOTP negli appunti
🔓 Design Senza Stato	Ogni comando richiede un'autenticazione esplicita con password
🛡️ Criteri Password	Applicazione configurabile della robustezza della password con zxcvbn
🧪 Ben Testato	289 test superati con copertura completa
📖 Modello di Sicurezza	Analisi dettagliata delle minacce e documentazione del design crittografico

---

📸 Schermate

Aggiunta interattiva di una nuova voce TOTP

Generazione di un codice TOTP per una voce

Rinomina di una voce con rilevamento dei duplicati

Visualizzazione delle informazioni sulla versione ed elenco di tutte le voci

---

🚀 Avvio Rapido

Installazione

pip install desktop-2fa

Verifica dell'installazione:

python -c "import desktop_2fa; print(desktop_2fa.__version__)"
# Output: 0.8.1dev

Utilizzo di Base

# Initialize a new vault
d2fa vault init

# Add a new TOTP token
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP

# List all entries
d2fa vault list

# Generate a code
d2fa code GitHub

Utilizzo Non Interattivo

# Provide password via command line
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password mypassphrase

# Provide password via file
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password-file /path/to/passphrase.txt

---

📁 Ciclo di Vita del Vault

Il vault è un file di archiviazione crittografato situato in ~/.desktop-2fa/vault.

Creazione del Vault

Quando un comando richiede un vault e questo non esiste:

1. La CLI richiede una nuova password (modalità interattiva) oppure richiede --password/--password-file (modalità non interattiva)
2. Viene creato un vault crittografato vuoto
3. Viene sempre stampato un messaggio di conferma: Vault created at <path>

Caricamento del Vault

Quando un comando richiede un vault e questo esiste:

1. La CLI richiede la password esistente (modalità interattiva) oppure richiede le credenziali (modalità non interattiva)
2. Il vault viene decrittografato e caricato
3. Se la password non è valida, la CLI termina con typer.Exit(1)

Gestione delle Voci Duplicate

Il comando rename impone un comportamento deterministico quando più voci corrispondono al nome target:

• Se più voci corrispondono al nome fornito (issuer o account_name), la rinomina viene annullata
• Messaggio di errore: Error: Multiple entries named '<name>' exist. Operation aborted. Resolve duplicates first.
• In questo caso nessuna voce viene rinominata
• Questo controllo avviene prima di qualsiasi modifica

---

📖 Comandi CLI

Comandi Principali

Comando	Descrizione
d2fa vault add <name> <issuer> <secret>	Aggiunge una nuova voce TOTP
d2fa vault list	Elenca tutte le voci TOTP salvate
d2fa vault rename <old> <new>	Rinomina una voce
d2fa vault remove <name>	Rimuove una voce
d2fa code <name> [--copy|--copy-only]	Genera il codice TOTP con opzioni di copia negli appunti

Gestione del Vault

Comando	Descrizione
d2fa vault init [--force]	Inizializza un nuovo vault
d2fa vault unlock	Apre il vault con avviso di password debole (se configurato)
d2fa vault change-password	Cambia la password del vault
d2fa vault backup	Crea un backup crittografato del vault
d2fa vault export <path>	Esporta il vault in un file
d2fa vault import <path> [--force]	Importa il vault da un file

Opzioni Globali

Opzione	Descrizione
--password <pwd>	Fornisce direttamente la password del vault
--password-file <path>	Legge la password del vault da un file
--json	Output in formato JSON
--raw	Output grezzo (senza formattazione)
--quiet	Sopprime l'output non essenziale
--copy	Copia il codice TOTP negli appunti e lo visualizza
--copy-only	Copia il codice TOTP solo negli appunti
--force	Forza l'operazione (ignora le conferme)

---

🔒 Sicurezza

Il vault utilizza:

• AES-256-GCM per la crittografia autenticata
• Argon2id per la derivazione della chiave (time_cost=4, memory_cost=128MiB, parallelism=2)
• zxcvbn per la valutazione della robustezza delle password
• Intestazione versionata per la compatibilità futura

Ogni comando richiede un'autenticazione esplicita con password. Nessun accesso basato su sessione.

Valutazione della Robustezza della Password

Desktop-2FA utilizza zxcvbn per valutare la robustezza delle password quando si creano o si cambiano le password del vault:

• Punteggio 0-2 (Debole): password facilmente indovinabili (ad es. "password123")
• Punteggio 3-4 (Forte): resistente agli attacchi comuni (consigliato)

Esempi:

• ❌ Debole: password, 123456, qwerty, admin2024
• ✅ Forte: Battery-Horse-Staple-Correct, Mountain@River*2024, MySecureVault#42

Configurazione (~/.config/d2fa/config.toml):

[security]
# Require strong passwords (score >= 3)
reject_weak_passwords = false  # warn but allow | true: reject weak passwords

Quando reject_weak_passwords = false:

• Le password deboli generano un avviso giallo
• All'utente viene chiesto di confermare la continuazione
• L'accettazione della password non è bloccante

Quando reject_weak_passwords = true:

• Le password deboli vengono rifiutate immediatamente
• Il comando termina con un errore
• L'utente deve scegliere una password più robusta

Compatibilità con le Versioni Precedenti: Se nel tuo config è impostato min_password_entropy (opzione legacy), viene riconosciuto e trattato come equivalente alla richiesta di un punteggio zxcvbn >= 3.

Rafforzamento della Sicurezza (v0.8.0)