Willkommen im mailbox User Forum

Neues Thema

mailbox User Forum Thema Frage Passwort und Sicherheit

Kategorie Passwort und Sicherheit

Tags yubikey, 2FA, Authenticator

Tipp 2FA

Ich weiß nichts hat dies geteilt, her

unbeantwortet

Hallo zusammen,

ich habe das Thema schon in einem anderen Thread angerissen. Aber dort ist es offtopic, deshalb noch mal ein neuer Thread.

Wenn ich das neue Login 2.0 habe, würde ich meinen Account gerne mit 2FA absichern, da es mit der Zeit ja immer mehr sensible Dinge sind, die sich hier ansammeln.

Normalerweise rufe ich meine Mails mit Thunderbird (Andriod und Desktop) ab. Das heißt, die Weboberfläche brauche ich tendetiell dann, wenn ich keinen Zugriff auf mein Handy habe und an einen Fremdrechner müsste. Deshalb habe ich eigentlich damit geliebäugelt, mir einen Yubikey zu kaufen. Der Support von Mailbox.org hat nun aber bekannt gegeben, dass der Yubikey mit dem Login 2.0 (noch?) nicht funktioniert.

So, nun brauche ich eure Schwarmintelligenz.
-Softwarelösung auf dem Handy ist schwierig, da ich Zugriff auf die Weboberfläche brauche, wenn ich eben kein Handy habe (kaputt, leer, abhanden gekommen...)
-Yubikey hätte ich am Schlüsselbund immer bei mir, funktioniert aber mit Login 2.0 nicht.

Hat jemand eine Idee, wie ich aus diesem Dilemma kommen kann?

Danke schon mal.

Ich habe die gleiche Frage

Antworten (5)

Stephan ●

Wenn ich das richtig verstanden habe, möchtest Du Dich an einem fremden Rechner anmelden wenn Dein Handy nicht verfügbar ist, das aber trotzdem per 2FA absichern.

Erscheint mir ehrlich gesagt etwas konstruiert, kommt das so häufig vor?

Aber sei es drum: Du kannst das lösen, indem Du einen Bitwarden-Account dazwischenschaltest, der wiederum die 2FA-Tokens für mailbox.org generiert.

Antworten URL

Ich weiß nichts ●

Was ist daran konstruiert? Wenn ich mein Handy habe, dann habe ich meine Mails in Thunderbird verfügbar.

An der Weboberfläche muss ich mich nur anmelden, wenn ich z.B. im Urlaub bin, und mein Handy kaputt/verloren ist. Ich nutze fast ausschließlich Mail-Clients und sehr selten die Weboberfläche. Das kommt tatsächlich sehr selten vor. Aber wenn, dann ist es richtig doof. Mein Mailaccount wurde auch noch nie gehackt. Trotzdem will ich ihn absichern.

Danke für den Tipp mit Bitwarden. Das schaue ich mir mal an.

URL

Stephan ●

Konstruiert deshalb, weil es sich eher nach einem Notfall-Zugriff anhört, der extrem selten vorkommt.

Die Frage ist hier, ob nicht eine Möglichkeit zum Rücksetzen des Passworts besser wäre, etwa über das Telefonpasswort. Alternativ gibt es auch TOTP-Generatoren als Hardware.

URL

Einer ●

Es gibt verschiedene gute Passwortmanager, die auch 2FA-Token erzeugen können. Mit einem Login2-fähigen Account kannst Du mehrere Authenticator für Mailbox registrieren. Das funktioniert prima und ich nutze es täglich.

URL

Ich weiß nichts ●

Ok, wenn man mehrere Authenticator registrieren kann, dann wird das schon wieder praktikabel.

Der zweite könnte dann aufs Handy meiner Frau. Damit reduziere ich das Risiko mich selbst auszusperren schon mal gewaltig.

Danke für den Tipp.

Antworten URL

Stephan ●

Du brauchst nicht einmal mehrere registrieren, sondern kannst das Secret auch teilen, z.B. mit ente Auth.

URL

Einer ●

Das Secret zu teilen, geht nur bis zur Verifikation. Danach wird ein neues Secret erzeugt.

Da Ich weiß nichts schon einen Auth eingerichtet hat, sollte er das alte Secret nicht mehr haben. Da erscheint mir die zweite Einrichtung als die entspanntere Lösung. Wenn uns Mailbox schon den Komfort bietet, warum ihn nicht nutzen?

URL

Stephan ●

Was Du meinst, ist der Einmalcode, der sich alle 30 Sekunden ändert. Ich spreche vom Secret, das für die Erzeugung aller Codes benötigt wird. Mit entsprechenden Apps lässt sich das auslesen und teilen.

URL

Einer ●

Ich spreche auch von dem Secret. Sollte sich das auslesen lassen, wäre die 2FA überflüssig.

Das Secret kann aber in zwei Apps oder auf zwei Geräten eingegeben werden, bevor die Antwort darauf im Einrichtungsdialog bestätigt wird. Dann laufen beide Apps synchron. Aber zum dritten Mal: Wozu, wenn es viel bequemer geht?

URL

Stephan ●

Natürlich lässt sich das Secret auslesen, viele Apps bieten ja auch Export-Funktionen, die das Secret enthalten. Warum dadurch 2FA überflüssig sein sollte, erschließt sich mir nicht.

Und welche Variante bequemer ist, sollte der Fragesteller für sich selbst entscheiden. Wir zählen hier nur alle Möglichkeiten auf.

URL

Einer ●

Na also heute Morgen hast Du Ich weiß nichts noch empfohlen, er solle sein Passwort zurücksetzen. Und nun empfiehlst Du einen unverschlüsselten Export der Auth-Datenbank.

Das sollte der Weisheit letzter Schluss nicht sein.

URL

Stephan ●

Das mit dem Zurücksetzen war eine von drei genannten Möglichkeiten, nachdem mir der gewünschte Anwendungsfall klar war.

Einen unverschlüsselten Export der 2FA-Datenbank habe ich an keiner Stelle empfohlen. Mir ging es um die Funktionalität von ente, das Secret per QR-Code in eine zweite App zu übertragen.

URL

Ich weiß nichts ●

Danke euch beiden.

Wie @Stephan schon richtig bemerkt hat, will ich ein Backup für einen eher seltenen Fall.

Deshalb glaube ich, die Möglichkeit einfach zwei Authenticatoren zu registrieren (einen auf meinem Gerät, einen auf dem Gerät meiner Frau) die einfachste Lösung. Das können wir dann auch sehr unkompliziert wechselseitig so einrichten.

Antworten URL

Ich weiß nichts ●

Hallo noch mal,

ich habe inzwischen mal etwas recherchiert. Und ich bin etwas überfordert. Ich würde, sobald Login 2.0 für mich freigeschaltet ist, tatsächlich gerne 2FA einrichten. Nach Möglichkeit über einen Hardwaretoken. Was wäre den eure Empfehlung wenn ich den Token dauerhaft am Schlüsselbund tragen möchte. Außerdem sollte er können: USB, NFC, Fido2, TOTP. Was nutzt ihr, was nicht und warum.

Danke schon mal im Voraus für eure Mühe.

Antworten URL

Stephan ●

Ich persönlich nutze einen SoloKey. Es handelt sich um ein Produkt, bei dem nicht nur die Software sondern auch die Hardware offen ist. Er beherrscht allerdings kein TOTP, dafür nutze ich eine App auf dem Smartphone.

Als Alternative aus Deutschland habe ich gutes von NitroKey gehört.

Um die verbreiteten YubiKeys mache ich einen großen Bogen, da sie keine Firmware-Updates unterstützen und der Hersteller sich selbst bei Sicherheitslücken weigert, einen Austausch durchzuführen. So ist man quasi auf ein Versionsroulette bei der Bestellung angewiesen.

URL

Einer ●

An der Uni benutzen wir verpflichtend Yubikeys. Darüber kann ich weder Gutes noch Schlechtes sagen, sie funktionieren eben.

Aber bezüglich "überfordert" möchte ich doch ermutigend anmerken, dass mit dem Login2 das Einrichten wesentlich einfacher wird. Also nicht verzagen. Ich habe auch die Umstellung abgewartet.

URL

Ich weiß nichts ●

Hallo und danke euch Beiden,

ich habe mir eure Infos noch mal zu Gemüte geführt und mit meinen Bedürfnissen abgeglichen.

Stand aktuell ist der Nitrokey 3 NFC mein Favorit. Solokey klingt auch nicht schlecht. Aber der Nitrokey kann, wenn meine Recherche richtig ist, im Extremfall ein TOTP auf Tastendruck ohne Zusatzsoftware erzeugen. Somit hätte ich quasi nahezu jedes denkbare Szenario abgedeckt wenn ich unbedingt an einen Fremdrechner müsste.

Lediglich die schlanke und robuste Bauform des Yubikey wäre noch nett.

Was Lokalpatriotismus angeht, bin ich zwar nicht so verkrampft. Aber bei den aktuellen politischen Entwicklungen weltweit, setze ich bei vergleichbarer Leistung und Preis doch eher auf deutsche/europäische Produkte. Mein Account bei Mailbox.org ist kein Zufall 😉

Ich denke, sobald für mich Login 2.0 freigeschaltet ist, werde ich die Sache mal angehen.

Ihr habt mir wirklich sehr geholfen.

Antworten URL

Hinterlassen Sie einen Kommentar

Dateianlage anfügen

You can't vote. Please authorize!