🛡️ Desktop-2FA

Um gerenciador seguro e offline de autenticação de dois fatores (2FA) para ambientes desktop. Construído com Python, com criptografia forte e sem dependências de nuvem.

🌐 Página Inicial: desktop-2fa.org

✨ Funcionalidades

📸 Capturas de Tela

Adicionando uma nova entrada TOTP interativamente

Gerando um código TOTP para uma entrada

Renomeando uma entrada com detecção de duplicatas

Visualizando informações de versão e listando todas as entradas

🚀 Início Rápido

Instalação

pip install desktop-2fa

Verificar instalação:

python -c "import desktop_2fa; print(desktop_2fa.__version__)"
# Saída: 0.8.1dev

Uso Básico

# Inicializar um novo vault
d2fa vault init

# Adicionar um novo token TOTP
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP

# Listar todas as entradas
d2fa vault list

# Gerar um código
d2fa code GitHub

Uso Não Interativo

# Fornecer senha via linha de comando
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password minhasenha

# Fornecer senha via arquivo
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password-file /caminho/para/arquivo_senha.txt

📁 Ciclo de Vida do Vault

O vault é um arquivo de armazenamento criptografado localizado em ~/.desktop-2fa/vault.

Criação do Vault

Quando um comando exige um vault e nenhum existe:

1. O CLI solicita uma nova senha (modo interativo) ou requer --password/--password-file (modo não interativo)
2. Um vault criptografado vazio é criado
3. Uma mensagem de confirmação é sempre exibida: Vault criado em <caminho>

Carregamento do Vault

Quando um comando exige um vault e ele existe:

1. O CLI solicita a senha existente (modo interativo) ou requer credenciais (modo não interativo)
2. O vault é descriptografado e carregado
3. Se a senha for inválida, o CLI é encerrado com typer.Exit(1)

Tratamento de Entradas Duplicadas

O comando rename impõe comportamento determinístico quando várias entradas correspondem ao nome alvo:

• Se várias entradas corresponderem ao nome fornecido (emissor ou account_name), a renomeação é abortada
• Mensagem de erro: Erro: Várias entradas chamadas '<nome>' existem. Operação abortada. Resolva as duplicatas primeiro.
• Nenhuma entrada é renomeada neste caso
• Esta verificação ocorre antes de qualquer mutação

📖 Comandos CLI

Comandos Principais

Gerenciamento do Vault

Opções Globais

🔒 Segurança

O vault usa:

• AES-256-GCM para criptografia autenticada
• Argon2id para derivação de chave (time_cost=4, memory_cost=128MiB, parallelism=2)
• zxcvbn para avaliação de força de senha
• Cabeçalho versionado para compatibilidade futura

Cada comando exige autenticação explícita por senha. Nenhum acesso baseado em sessão.

Avaliação de Força de Senha

Desktop-2FA usa zxcvbn para avaliar a força da senha ao criar ou alterar senhas do vault:

• Pontuação 0-2 (Fraca): Senhas facilmente adivinháveis (ex.: "password123")
• Pontuação 3-4 (Forte): Resistente a ataques comuns (recomendado)

Exemplos:

• ❌ Fraca: password, 123456, qwerty, admin2024
• ✅ Forte: Battery-Horse-Staple-Correct, Mountain@River*2024, MySecureVault#42

Configuração (~/.config/d2fa/config.toml):

[security]
# Exigir senhas fortes (pontuação >= 3)
reject_weak_passwords = false  # avisar mas permitir | true: rejeitar senhas fracas

Quando reject_weak_passwords = false:

• Senhas fracas geram um aviso amarelo
• O usuário é solicitado a confirmar a continuação
• Aceitação da senha não é bloqueante

Quando reject_weak_passwords = true:

• Senhas fracas são rejeitadas imediatamente
• O comando encerra com erro
• O usuário deve escolher uma senha mais forte

Compatibilidade Retroativa: Se você tiver min_password_entropy definido em sua configuração (opção legada), ele é reconhecido e tratado como equivalente a exigir pontuação zxcvbn >= 3.

Endurecimento de Segurança (v0.8.0)

A versão 0.8.0 mantém todo o endurecimento de segurança anterior da v0.7.3 e introduz arquitetura modular para melhor isolamento de código:

• Senhas vazias são rejeitadas imediatamente com uma mensagem de erro clara
• Erros de permissão são diferenciados de arquivos de vault ausentes
• Nenhum traceback Python é exibido para os usuários
• Mensagens de erro amigáveis para problemas de permissão do sistema de arquivos
• Design modular separa componentes CLI e criptográficos principais para limites de segurança aprimorados
• Avaliação de força de senha baseada em zxcvbn (nova na v0.8.0)

📚 Documentação

🧪 Testes

pytest tests/              # Executar todos os testes
pytest --cov=src/desktop_2fa  # Executar com cobertura

🏗️ Estrutura do Projeto

src/desktop_2fa/
├── app/           # Componentes da aplicação
├── cli/           # Interface de linha de comando
├── crypto/        # Utilitários de criptografia
├── totp/          # Geração TOTP
├── ui/            # Componentes de interface do usuário
├── vault/         # Gerenciamento de vault
└── utils/         # Utilitários

📄 Licença

Apache License 2.0. Veja o arquivo LICENSE.

👤 Autor

Łukasz Perek

🏆 Patrocínio

desktop‑2fa é apoiado pelo Programa de Patrocínio Kilo OSS.

📧 Contato

Para perguntas ou suporte, entre em contato pelo e-mail [email protected]

💖 Apoie o Projeto

Desktop‑2FA é uma ferramenta open‑source independente construída com foco em autonomia, transparência e segurança offline. Se você acha útil e deseja apoiar o desenvolvimento contínuo, pode fazê-lo através das plataformas abaixo:

• Ko‑fi: https://ko-fi.com/lukaszperek
• Buy Me a Coffee: https://buymeacoffee.com/lukaszperek
• AirTM: https://airtm.me/lukper