Authentifizierung
In diesem Abschnitt werden die Sicherheitsfunktionen des Sync-in-Kontos behandelt, einschließlich der Multi-Faktor-Authentifizierung (MFA/2FA) und Anwendungskennwörter.
Zwei-Faktor-Authentifizierung
Die Zwei-Faktor-Authentifizierung (2FA) erhöht die Sicherheit Ihres Sync-in-Kontos, indem sie eine zusätzliche Schutzebene vor unbefugtem Zugriff bietet. Sie erfordert zwei voneinander unabhängige Nachweise Ihrer Identität:
- etwas, das Sie wissen (zum Beispiel Ihr Passwort),
- etwas, das Sie haben (zum Beispiel ein auf Ihrem Telefon generierter Code oder ein Wiederherstellungsschlüssel).
Mit dieser Kombination kann niemand ohne den zweiten Faktor auf Ihr Konto zugreifen, selbst wenn Ihr Passwort kompromittiert wird.
Diese Funktion erfordert eine vorherige Aktivierung durch den Administrator.
Bei Verwendung von OIDC wird erwartet, dass MFA vom Identitätsanbieter durchgesetzt wird. Sync-in fügt nach dem OIDC-Callback keine lokale 2FA-Abfrage hinzu. Sync-in 2FA bleibt während einer OIDC-Sitzung über das Benutzerprofil konfigurierbar.
Voraussetzungen
Um die Zwei-Faktor-Authentifizierung mit Sync-in verwenden zu können, benötigen Sie eine TOTP-kompatible Anwendung (zeitbasiertes Einmalpasswort). Diese Anwendungen generieren temporäre Einmalcodes, die Sie beim Anmelden zusätzlich zu Ihrem Passwort eingeben müssen.
Hier sind einige weit verbreitete Open-Source-TOTP-Anwendungen:
- Proton Authenticator (Android, iOS, Desktop)
- FreeOTP (Android, iOS)
- Aegis Authenticator (Android)
Sie können die Anwendung auswählen, die am besten zu Ihnen passt. Sie funktionieren alle ähnlich: Scannen Sie einfach den bei der Aktivierung bereitgestellten QR-Code und verwenden Sie anschließend den generierten Code bei jeder Anmeldung.
Konfiguration
Im Abschnitt Sicherheit Ihres Benutzerkontos startet die Schaltfläche Aktivieren für die Zwei-Faktor-Authentifizierung den TOTP-Registrierungsprozess.
Durch das Aktivieren, Zurücksetzen oder Deaktivieren von Sync-in 2FA wird das lokale Sync-in-Passwort überprüft, auch wenn die aktuelle Browsersitzung über OIDC erstellt wurde. Von OIDC erstellte Konten, die noch kein bekanntes lokales Passwort haben, müssen zunächst eines aus dem Benutzerprofil definieren.
Schritt 1
Schritt 2
Schritt 1:
- Geben Sie das Passwort Ihres Kontos ein
- Geben Sie den von Ihrer Authentifizierungs-App bereitgestellten TOTP-Code ein
Schritt 2:
- Speichern oder kopieren Sie die Wiederherstellungscodes
Wiederherstellungscodes sind unerlässlich: Wenn Sie den Zugriff auf Ihre Authentifizierungs-App verlieren, werden diese zum Zurücksetzen der Zwei-Faktor-Authentifizierung benötigt. Jeder Code ist einmalig und kann nur einmal verwendet werden.
Von nun an ist ein TOTP-Code für lokale Sync-in-Passwortanmeldungen und für vertrauliche Aktionen erforderlich, die durch Sync-in Step-up geschützt sind.
Für anwendungsspezifische Abläufe gelten möglicherweise zusätzliche Regeln. Insbesondere kann WebDAV während der HTTP-Basisauthentifizierung nicht nach einem interaktiven TOTP-Code fragen, daher muss ein TOTP-geschütztes Konto ein dediziertes WebDAV-Anwendungskennwort anstelle des Hauptkontokennworts verwenden.
Verlust des Zugriffs auf Authentifizierungsmethoden
Wenn Sie sowohl Ihre Wiederherstellungscodes als auch Ihre Authentifizierungsmethode (z. B. TOTP-App oder Sicherheitsschlüssel) verlieren, können Sie nicht mehr alleine auf Ihr Konto zugreifen.
In diesem Fall kann nur ein Administrator die Zwei-Faktor-Authentifizierung zurücksetzen oder deaktivieren, damit Sie wieder Zugriff auf Ihr Konto erhalten.
⚠️ Eine Wiederherstellung per E-Mail ist nicht verfügbar. Eine E-Mail-Adresse gilt als schwacher Authentifizierungsfaktor, ist leicht zu kompromittieren und daher ungeeignet, um die von 2FA gebotene Sicherheit zu gewährleisten.
Anwendungskennwörter
Anwendungskennwörter sind dedizierte Geheimnisse, die zur Authentifizierung von Clients oder Diensten generiert werden, die keine interaktive Authentifizierung verwenden können.
Sie werden hauptsächlich mit WebDAV verwendet, das keine Multi-Faktor-Authentifizierung (MFA) unterstützt, sowie mit CLI-Clients, die keine OpenID Connect (OIDC)-Authentifizierung unterstützen.
Wenn Sync-in TOTP für Ihr Konto aktiviert ist, akzeptiert WebDAV nur ein Anwendungskennwort, das der Anwendung webdav zugewiesen ist. In diesem Fall wird Ihr primäres Kontokennwort nicht für WebDAV akzeptiert. Wenn TOTP für Ihr Konto deaktiviert ist, kann WebDAV weiterhin entweder das primäre Passwort oder ein gültiges WebDAV-Anwendungskennwort verwenden.
Jedes Anwendungskennwort ist isoliert und kann einzeln widerrufen werden, wodurch die Verwendung des primären Kontokennworts entfällt und die potenziellen Auswirkungen einer Kompromittierung begrenzt werden. Dieser Ansatz trägt dazu bei, die gesamte Angriffsfläche zu reduzieren und steht im Einklang mit bewährten Sicherheitspraktiken, einschließlich des Prinzips der geringsten Rechte und der Zugriffssegmentierung.
Konfiguration
Im Abschnitt Sicherheit Ihres Benutzerkontos können Sie über die Schaltflächen Generieren und Verwalten für Anwendungskennwörter diese Kennwörter erstellen und verwalten.
Das Erstellen oder Widerrufen eines Anwendungskennworts erfordert die übliche zusätzliche Sync-in-Authentifizierung: TOTP, wenn aktiviert, andernfalls die Bestätigung des lokalen Kennworts.
Hauptfunktionen
- Name: eine eindeutige Kennung zur einfachen Erkennung des Anwendungskennworts.
- Anwendung: Anwendung oder Client, die dem Passwort zugeordnet ist (
webdavoderclientfür Desktop- oder Befehlszeilen-Clients) - Widerrufbar: Jedes Anwendungskennwort kann jederzeit einzeln widerrufen werden, ohne das Hauptpasswort oder andere Anwendungskennwörter zu beeinflussen.
- Ablaufdatum: Möglichkeit, ein Ablaufdatum festzulegen, um den Zugriff zeitlich zu begrenzen.
- Nachverfolgbarkeit: Protokollierung der letzten Zugriffe (Datum und IP-Adresse).
Das Passwort wird bei der Erstellung nur einmal angezeigt.