2FA - zweiter HW Token und/der FIDO2 Unterstützung

Vielen Dank!

Keine Anhnung, warum ich die Option weitere Token hinzufügen zu könnem, nicht im ersten Anlauf gesehen habe - die anderen Fallbackmöglichkeiten (2. Email, etc) kann ich wieder entfernen.

Bleibt noch die Frage nach Unterstützung für FIDO2? Oder was muss ich verwenden, um einen FIDO2 Tocken für 2FA zu verwenden?

Meines Wissens wird FIDO2 derzeit nicht unterstützt. Die Authentifizierung zu modernisieren, ist aber zumindest auf der Roadmap von mailbox.org. Zumindest hat Peer Heinlein dies einmal hier im Forum geäußert. (OpenID)

Ich kann mich da nur anschließen: FIDO2 wäre eine super Sache!

Mit Zugriff auf das E-Mail-Postfach ist jederzeit ein Deaktivieren der 2FA möglich. Diese Recovery-Maßnahme lässt sich meines Wissens nach nicht deaktivieren.

FIDO2 oder zumindest U2F würde auch ich sehr begrüßen.

"Es lassen sich doch in den Optionen der 2FA mehrere Token hinzufügen." Meinen Sie damit, dass man unter "Zahnrad -> One Time-Passwörter" einfach "OTP-Generatoren und andere Yubikeys" auswählt, und dann dort seinen zweiten (dritten) Token aufsetzt? Ich nutze schon einen Mailbox-Yubikey, welcher dort halt eingetragen ist. Das Interface machte auf mich gar nicht den Eindruck, dass man dort einen zweiten Token hinterlegen kann, sondern eher, dass ich den, den ich schon hinterlegt habe, *ändere* oder *lösche* - deswegen frage ich auch so explizit nach.

Es steht hier zwar auch als offizielle Antwort, dass das gehen sollte (https://userforum.mailbox.org/topic/mehrere-yubikeys), aber das Interface ist dahingehend etwas uneindeutig.

Vielen Dank für Ihre Hilfe!

Bzgl. meiner Frage habe ich einen eigenen" target="_blank">https://userforum.mailbox.org/topic/mehrere-yubikeys">eigenen Thread erstellt.

TL;DR: der mailbox.org Yubikey kann nicht mit anderen OTP Token kombiniert werden.

Danke für die Info! (Auch wenn es nicht die Antwort ist, die ich mir gewünscht hätte! ;-) )

Ich verstehe die Antwort im https://userforum.mailbox.org/topic/mehrere-yubikeys Thread anders, allerdings habe ich auch einen Yubikey Neo von Yubico und keinen "Yubikey von mailbox.org".

Zusätzlich zu meinem eigenen Yubikey verwende ich aktuell 2 OTP Softtoken (MS Authenticator@Android + Authy auf iOS) - diese ließen sich ohne Probleme einrichten.

Meinen Nitrokey Pro als zweiten HW Token einzurichten habe ich allerdings vorerst aufgegeben - irgendwie muss man mit den Key oder Seed Schlüssellängen rumspielen und irgendwann hatte ich keine Lust mehr.

Sie verstehen es falsch.

In der von Ihnen (wie auch von mir in dem verlinkten Thread) gemeinten Antwort geht es explizit um nicht von Mailbox provisionierte Yubikeys / OTP Tokens. Sie müssen unterscheiden zw. (1) "OTP-Generatoren und andere Yubikeys" und (2) "Yubikey von mailbox.org".

(a) Sie können mehrere von (1) miteinander kombinieren (was sie ja auch gemacht haben).

(b) Sie können nicht mehrere von (2) überhaupt erst erhalten.

(c) Sie können nicht (1) und (2) miteinander kombinieren (genau dies war aber meine Frage sowohl in diesem Thread als auch in dem separat von mir erstelltem - und auch diejenige, auf die 1492610 in diesem Thread Bezug nahm).

Punkt (a) wurde nicht angezweifelt bzw. eben ja schon im Forum verifiziert.

Punkt (c) aber ist nun neu etabliertes Wissen.

Ich glaube, Sie haben entweder nur zu schnell gelesen oder (a) und (c) vermengt. :)

----

Als Ergänzung: meinen Thread findet man hier: https://userforum-en.mailbox.org/topic/1218-2fa-zweiten-yubikey-nutzten-set-up-second-yubikey

Die Verlinkung hat in der ersten Antwort auf die Frage von 1492610 nicht gut geklappt (und man kann wohl leider nicht immer seine Beitrâge editieren). Anscheinend scheinen die Forums-Datenbanken für verschiedene Spracheinstellungen auch voneinander getrennt zu sein (man bemerke das en in meinem Link), sodass mein Thread von dem deutschsprachigen Forum aus anscheinend nicht via Suche zu finden ist...

deleted

@5810821: Warum soll man keinen Yubikey von mailbox.org zusammen mit anderen OTP Generatoren nutzen können? Ein mailbox.org-Yubikey ist schließlich auch ein normaler Yubikey, den man unter der Option "OTP-Generatoren und andere Yubikeys" eintragen kann.

Oder spricht da was dagegen?

Hallo @lufer,

Sie haben vollkommen Recht, man kann natürlich den mailbox.org-Yubikey als normalen Yubikey unter der Option "OTP-Generatoren und andere Yubikeys" eintragen, und dann auch mit anderen OTP-Generatoren nutzen. Dann authentifiziert sich der Yubikey aber gegen den OTP-Server von Yubico, womit Yubico Daten darüber erhält, wann man sich bei mailbox.org authentifiziert.

Wenn Sie den mailbox.org-Yubikey als solchen auch benutzen, authentifiziert sich dieser hingegen gegen den extra von mailbox.org on-premise gepflegten OTP-Server; damit fließen keine Daten an Yubico.

Sie können also den OTP-Slot auf dem mailbox.org-Yubikey löschen und den Yubikey dann normal nutzen. Aber wenn sie die mailbox.org-Provisionierung nutzen möchten, können Sie keinen weiteren OTP-Token damit kombinieren (was ich schade und suboptimal finde - kann aber nur vermuten, dass die technische Implementierung für mailbox.org bis dato zu aufwendig ist).