Je vais essayer de séparer et de développer certaines questions auxquelles il est plus facile de répondre et qui faisaient initialement partie d'un autre post SE ( La nouvelle exigence 2FA d'Apple pour les Apple ID des développeurs ) qui a été mis en attente parce qu'il était devenu trop complexe et peu maniable. En voici un :
Comment les "jetons" 2FA d'Apple sont-ils mis en œuvre ? Si cela a été expliqué dans les documents d'Apple, je ne l'ai pas encore trouvé.
Voilà pourquoi je veux savoir. Je n'utilise pas les SMS, point final. Principalement pour des raisons de confidentialité et de sécurité. Le 2FA d'Apple nécessite en donnant à Apple un numéro de téléphone pour commencer le processus d'activation. Ils sont assez bons pour vous permettre d'utiliser un numéro de téléphone fixe également, alors tant mieux pour eux, mais je ne maintiens pas vraiment de numéro de téléphone fixe. tout Je n'ai plus de numéro de téléphone, ce qui m'a empêché de commencer à travailler, d'où la série de questions compliquées dans le message précédent.
Si j'avais la certitude qu'un seul SMS au début était le seul SMS qui serait envoyé, je pourrais demander à quelqu'un d'autre de m'aider une fois et ce serait terminé. À partir de ce moment-là, je pourrais utiliser mon iDevice hors ligne pour générer des codes de vérification (n'est-ce pas ?). Mais si d'autres actions que je fais déclenchent des codes d'authentification SMS supplémentaires, cela ne fonctionnerait pas.
D'où la nécessité de savoir comment un dispositif ou un navigateur est considéré comme "de confiance" et/ou comment il peut perdre cette confiance.
Je peux déjà générer un "Code de vérification" sur mon iDevice que j'ai maintenant associé à l'appleID du dev, même en étant totalement déconnecté, donc ça semble bien. J'ai une certaine confiance dans le fait que l'appareil continuera à être "de confiance" tant que je ne changerai pas l'appleID associé.
Mais je n'ai aucune idée de la manière dont cela fonctionne avec un ordinateur portable qui n'aura jamais de compte iCloud (ni même de contact avec les serveurs iCloud), mais qui est simplement une machine de développement Xcode. La machine de développement n'est normalement pas connectée à Internet, et lorsqu'elle l'est, elle est protégée par un pare-feu très strict. Une fois par semaine environ, elle est autorisée à se connecter (via un proxy, un VPN ou des connexions physiques différentes) aux serveurs de certificats d'approvisionnement d'Apple pour mettre à jour les certificats. Il est difficile de savoir comment ou si je peux configurer cet ordinateur portable pour qu'il soit une "machine de confiance" et maintenir cette confiance. D'abord, il aura une adresse IP différente presque à chaque fois qu'Apple le verra, mais aussi, une fois que le 2FA est activé pour cet appleID, y a-t-il différentes actions que je pourrais faire qui pourraient changer cette confiance, comme mettre à jour Xcode, par exemple.
En de très rares occasions, c'est-à-dire peut-être 3 ou 4 fois, je me suis connecté via un navigateur au compte appleID associé pour configurer les choses et supprimer un appareil une fois. Mais les cookies sont immédiatement effacés, et je n'autorise jamais le "stockage local" (à partir de n'importe quel serveur), donc j'ai du mal à comprendre si je pourrais jamais avoir ce qui passe de manière continue pour un "navigateur de confiance" aux yeux d'Apple. Et s'il devient non fiable, quand cela pourrait-il déclencher une authentification par SMS, par opposition à la simple génération d'un code de vérification sur mon iDevice hors ligne ?
[mise à jour]
J'ai trouvé cette réponse de SE, qui répond en partie à ma question ci-dessus.
Comment Apple vérifie-t-il ma liste d'appareils et de navigateurs de confiance ?
Si un navigateur n'est fiable que sur la base d'un cookie, c'est terriblement éphémère. De nombreuses personnes, si ce n'est la plupart, effacent régulièrement les cookies.
Je m'interroge encore sur ce qui pourrait affecter la "confiance" dans la ou les machines elles-mêmes.
