Willkommen im User-Forum von mailbox.org

Neues Thema

mailbox.org Userforum Thema Frage Passwort und Sicherheit

Kategorie Passwort und Sicherheit

Tags yubikey, 2FA, Authenticator

Tipp 2FA

Ich weiß nichts hat dies geteilt, her

unbeantwortet

Hallo zusammen,

ich habe das Thema schon in einem anderen Thread angerissen. Aber dort ist es offtopic, deshalb noch mal ein neuer Thread.

Wenn ich das neue Login 2.0 habe, würde ich meinen Account gerne mit 2FA absichern, da es mit der Zeit ja immer mehr sensible Dinge sind, die sich hier ansammeln.

Normalerweise rufe ich meine Mails mit Thunderbird (Andriod und Desktop) ab. Das heißt, die Weboberfläche brauche ich tendetiell dann, wenn ich keinen Zugriff auf mein Handy habe und an einen Fremdrechner müsste. Deshalb habe ich eigentlich damit geliebäugelt, mir einen Yubikey zu kaufen. Der Support von Mailbox.org hat nun aber bekannt gegeben, dass der Yubikey mit dem Login 2.0 (noch?) nicht funktioniert.

So, nun brauche ich eure Schwarmintelligenz.
-Softwarelösung auf dem Handy ist schwierig, da ich Zugriff auf die Weboberfläche brauche, wenn ich eben kein Handy habe (kaputt, leer, abhanden gekommen...)
-Yubikey hätte ich am Schlüsselbund immer bei mir, funktioniert aber mit Login 2.0 nicht.

Hat jemand eine Idee, wie ich aus diesem Dilemma kommen kann?

Danke schon mal.

Ich habe die gleiche Frage

Antworten (3)

Stephan ●

Wenn ich das richtig verstanden habe, möchtest Du Dich an einem fremden Rechner anmelden wenn Dein Handy nicht verfügbar ist, das aber trotzdem per 2FA absichern.

Erscheint mir ehrlich gesagt etwas konstruiert, kommt das so häufig vor?

Aber sei es drum: Du kannst das lösen, indem Du einen Bitwarden-Account dazwischenschaltest, der wiederum die 2FA-Tokens für mailbox.org generiert.

Antworten URL

Ich weiß nichts ●

Was ist daran konstruiert? Wenn ich mein Handy habe, dann habe ich meine Mails in Thunderbird verfügbar.

An der Weboberfläche muss ich mich nur anmelden, wenn ich z.B. im Urlaub bin, und mein Handy kaputt/verloren ist. Ich nutze fast ausschließlich Mail-Clients und sehr selten die Weboberfläche. Das kommt tatsächlich sehr selten vor. Aber wenn, dann ist es richtig doof. Mein Mailaccount wurde auch noch nie gehackt. Trotzdem will ich ihn absichern.

Danke für den Tipp mit Bitwarden. Das schaue ich mir mal an.

URL

Stephan ●

Konstruiert deshalb, weil es sich eher nach einem Notfall-Zugriff anhört, der extrem selten vorkommt.

Die Frage ist hier, ob nicht eine Möglichkeit zum Rücksetzen des Passworts besser wäre, etwa über das Telefonpasswort. Alternativ gibt es auch TOTP-Generatoren als Hardware.

URL

Einer ●

Es gibt verschiedene gute Passwortmanager, die auch 2FA-Token erzeugen können. Mit einem Login2-fähigen Account kannst Du mehrere Authenticator für Mailbox registrieren. Das funktioniert prima und ich nutze es täglich.

URL

Ich weiß nichts ●

Ok, wenn man mehrere Authenticator registrieren kann, dann wird das schon wieder praktikabel.

Der zweite könnte dann aufs Handy meiner Frau. Damit reduziere ich das Risiko mich selbst auszusperren schon mal gewaltig.

Danke für den Tipp.

Antworten URL

Stephan ●

Du brauchst nicht einmal mehrere registrieren, sondern kannst das Secret auch teilen, z.B. mit ente Auth.

URL

Einer ●

Das Secret zu teilen, geht nur bis zur Verifikation. Danach wird ein neues Secret erzeugt.

Da Ich weiß nichts schon einen Auth eingerichtet hat, sollte er das alte Secret nicht mehr haben. Da erscheint mir die zweite Einrichtung als die entspanntere Lösung. Wenn uns Mailbox schon den Komfort bietet, warum ihn nicht nutzen?

URL

Stephan ●

Was Du meinst, ist der Einmalcode, der sich alle 30 Sekunden ändert. Ich spreche vom Secret, das für die Erzeugung aller Codes benötigt wird. Mit entsprechenden Apps lässt sich das auslesen und teilen.

URL

Einer ●

Ich spreche auch von dem Secret. Sollte sich das auslesen lassen, wäre die 2FA überflüssig.

Das Secret kann aber in zwei Apps oder auf zwei Geräten eingegeben werden, bevor die Antwort darauf im Einrichtungsdialog bestätigt wird. Dann laufen beide Apps synchron. Aber zum dritten Mal: Wozu, wenn es viel bequemer geht?

URL

Stephan ●

Natürlich lässt sich das Secret auslesen, viele Apps bieten ja auch Export-Funktionen, die das Secret enthalten. Warum dadurch 2FA überflüssig sein sollte, erschließt sich mir nicht.

Und welche Variante bequemer ist, sollte der Fragesteller für sich selbst entscheiden. Wir zählen hier nur alle Möglichkeiten auf.

URL

Einer ●

Na also heute Morgen hast Du Ich weiß nichts noch empfohlen, er solle sein Passwort zurücksetzen. Und nun empfiehlst Du einen unverschlüsselten Export der Auth-Datenbank.

Das sollte der Weisheit letzter Schluss nicht sein.

URL

Stephan ●

Das mit dem Zurücksetzen war eine von drei genannten Möglichkeiten, nachdem mir der gewünschte Anwendungsfall klar war.

Einen unverschlüsselten Export der 2FA-Datenbank habe ich an keiner Stelle empfohlen. Mir ging es um die Funktionalität von ente, das Secret per QR-Code in eine zweite App zu übertragen.

URL

Ich weiß nichts ●

Danke euch beiden.

Wie @Stephan schon richtig bemerkt hat, will ich ein Backup für einen eher seltenen Fall.

Deshalb glaube ich, die Möglichkeit einfach zwei Authenticatoren zu registrieren (einen auf meinem Gerät, einen auf dem Gerät meiner Frau) die einfachste Lösung. Das können wir dann auch sehr unkompliziert wechselseitig so einrichten.

Antworten URL

Hinterlassen Sie einen Kommentar

Dateianlage anfügen