¿Cómo puede LastPass imponer la autenticación de 2 factores?

  

¿Cómo pueden hacer cumplir eso?

El complemento del navegador no almacenará los datos permanentemente en su máquina local si Permit Offline Access está configurado como Disallow . Solo está disponible mientras su conexión a Internet está activa y su sesión con LastPass es actual.

  

Si de alguna manera cifran mi contraseña db con una clave devuelta por el procedimiento de autenticación de Google, ¿cómo pueden permitir el acceso sin conexión en primer lugar? Y si no lo cifran con algo de google, ¿cómo pueden evitar el acceso sin conexión?

No cifran la base de datos de contraseñas con la clave de autenticación de 2 factores, solo con su contraseña maestra (o más bien una clave derivada de ella). La clave 2FA solo determina si su servidor le permite acceder a la base de datos de contraseñas y no se utiliza en el descifrado.

Hay un poco de información adicional aquí .

Probablemente escribieron un módulo 'servidor' para ello. GA usa secretos compartidos. Su módulo tendría el mismo secreto que su cliente GA.

Si es así, la siguiente pregunta es: ¿cómo están protegiendo el secreto compartido? El módulo GA pam sufre el mismo problema. Cada servidor de Linux necesita el mismo secreto compartido (muy malo) o usted necesita un dominio para cada servidor (difícil de escalar). Más sobre el módulo GA pam aquí: enlace .