# Facteurs et exemples
Connaissance : mot de passe, code PIN, question secrète
Possession   : application TOTP, clé de sécurité FIDO2/U2F, SMS (déconseillé)
Inhérence    : empreinte digitale, reconnaissance faciale

# SMS OTP est déconseillé car vulnérable au SIM swapping et à l'interception SS7

# Implémentation d'un TOTP (Time-based One-Time Password, RFC 6238) compatible
# Google Authenticator / Authy, avec la librairie pyotp
import pyotp

# 1. Génération du secret lors de l'activation MFA par l'utilisateur
secret = pyotp.random_base32()  # à stocker chiffré côté serveur, lié au compte utilisateur

# 2. Génération de l'URL de provisioning pour le QR code affiché à l'utilisateur
totp = pyotp.TOTP(secret)
uri = totp.provisioning_uri(name="alice@example.com", issuer_name="Technologik")
# uri -> "otpauth://totp/Technologik:alice@example.com?secret=...&issuer=Technologik"

# 3. Vérification du code saisi par l'utilisateur (fenêtre de tolérance de +/- 1 période = 30s)
def verify_totp(secret: str, code: str) -> bool:
    totp = pyotp.TOTP(secret)
    return totp.verify(code, valid_window=1)

print(verify_totp(secret, totp.now()))  # True

# Codes de récupération (backup codes) à générer et hacher comme des mots de passe
import secrets
import bcrypt

def generate_backup_codes(n: int = 10) -> list[str]:
    return [secrets.token_hex(5) for _ in range(n)]  # ex: "a1b2c3d4e5"

def hash_backup_codes(codes: list[str]) -> list[bytes]:
    return [bcrypt.hashpw(c.encode(), bcrypt.gensalt()) for c in codes]

# Chaque code n'est utilisable qu'une seule fois -> le supprimer de la liste après usage

# FIDO2 / WebAuthn : standard moderne basé sur la cryptographie asymétrique
# Le navigateur/clé génère une paire de clés PAR SITE, la clé privée ne quitte jamais l'appareil
1. Le serveur envoie un "challenge" aléatoire
2. La clé de sécurité (YubiKey, Touch ID, Windows Hello) signe le challenge avec la clé privée
3. Le serveur vérifie la signature avec la clé publique stockée en base
# Avantage majeur : résistant au phishing (la signature est liée au domaine d'origine)

// Extrait côté navigateur : démarrage d'une inscription WebAuthn
async function registerSecurityKey(publicKeyOptions) {
  const credential = await navigator.credentials.create({
    publicKey: publicKeyOptions, // challenge + rp (relying party) + user, fournis par le serveur
  });
  // Envoyer credential.response (attestationObject, clientDataJSON) au serveur pour vérification
  return fetch("/webauthn/register", {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({
      id: credential.id,
      rawId: Array.from(new Uint8Array(credential.rawId)),
      response: {
        attestationObject: Array.from(new Uint8Array(credential.response.attestationObject)),
        clientDataJSON: Array.from(new Uint8Array(credential.response.clientDataJSON)),
      },
    }),
  });
}

# Bonnes pratiques MFA en production
1. Ne jamais autoriser le contournement silencieux du MFA (bug classique: "remember this device" trop permissif)
2. Toujours proposer des codes de récupération lors de l'activation
3. Notifier l'utilisateur par email lors de toute modification des facteurs MFA
4. Prioriser WebAuthn/FIDO2 > TOTP > SMS
5. Exiger une ré-authentification MFA pour les actions sensibles (changement email, suppression compte)