Beiträge von [netcup eos] Stefan L.

ja, alle unsere Funktionen und vor allem so kritische Pfade wie dieser sind von Anfang an mit umfrangreichen, hauptsächlich automatisisierten Tests abgesichert. Der Fehler lag in diesem Fall nicht in der Software selbst (das wäre frühzeitig aufgefallen) sondern in einem hängengen gebliebenen und deshalb nicht vollständig ausgeführten Deployment. Auch dieser Fall ist nun abgesichert.

Wenn du dich mit einem Passkey anmeldest, fragen wir nun keinen zweiten Faktor (TOTP-Code) mehr ab. Die Anmeldung wird dadurch einfacher weil nur ein einziger Schritt notwendig ist. TOTP wird nur noch verlangt, wenn du dich mit Passwort anmeldest.

Warum das dennoch sicher ist

• Passkeys sind phishing-resistent. Ein Passkey ist kryptografisch an die Domain des Dienstes gebunden und funktioniert auf einer gefälschten Seite nicht. TOTP-Codes lassen sich dagegen auf einer Phishing-Seite abgreifen und sofort weiterverwenden. Ein zusätzlicher TOTP-Code würde den Passkey also nicht stärker machen.
• Der private Schlüssel verlässt dein Gerät nicht, und bei uns liegt nur der öffentliche Schlüssel. Ein Datenleck bei uns würde Angreifern nichts nützen.
• Ein Passkey mit User-Verification ist bereits ein Mehr-Faktor-Verfahren. Er kombiniert Besitz (den privaten Schlüssel auf deinem Gerät oder Security-Key) mit Inhärenz oder Wissen (Biometrie oder Geräte-PIN, mit der du die Nutzung freigibst). Ein zusätzlicher TOTP-Code würde keinen neuen Faktor hinzufügen, sondern nur einen weiteren Besitzfaktor.
• Dein Konto bleibt wiederherstellbar. Bei der Registrierung mit Passkey erhältst du stattdessen einmalig Recovery-Codes, die du als gespeichert bestätigen musst.
• Die Wiederherstellung ist stärker abgesichert. Wer ein Konto ohne Passwort per E-Mail wiederherstellen will, braucht zusätzlich einen Recovery-Code. Allein der Zugriff auf dein Postfach reicht nicht. Der verwendete Code wird verbraucht, und alte Passkeys werden entfernt, sobald ein neuer erster Faktor eingerichtet ist.
• Du wirst informiert. Jede Passkey-Anmeldung steht im Audit-Log. Bei Verwendung eines Recovery-Codes, beim Entfernen eines Passkeys und beim Hinzufügen eines Passworts bekommst du eine Benachrichtigung. Den letzten Passkey eines reinen Passkey-Kontos kannst du nicht löschen.

Was sich nicht ändert

• Wer sich mit Passwort anmeldet, braucht weiterhin TOTP.
• Fügst du einem Passkey-Konto später ein Passwort hinzu, richtest du direkt TOTP ein. Das Passwort funktioniert erst, wenn TOTP bestätigt ist.
• Bei bestehenden Konten bleiben TOTP und Recovery-Codes verknüpft, TOTP wird nur bei Passkey-Anmeldung nicht mehr abgefragt.

Liebe Grüße,

Stefan und das netcup eos Team

Die Benutzereinstellungen sollten nun auch korrekt funktionieren. Bitte um Info, falls das Problem bei dir weiterhin besteht.

Danke für den Hinweis, der Fehler wurde behoben und der zweite Faktor wird bei Password-Login nun wieder korrekt abgefragt. Bei passkey haben wir die Abfrage des zweiten Faktors allerdings bewusst entfernt.

Hallo Netsnek,

wir haben das Problem nun behoben. Bitte versuche erneut dich einzuloggen. Es ist möglich, dass du erneut einen TOTP konfigurieren musst, du solltest danach aber nicht mehr aufgefordert werden einen weiteren TOTP zu erstellen. Die alten TOTP-Einträge kannst du dann aus deiner Authentikator-App löschen, es ist immer nur der zuletzt konfigurierte gültig.

Grüße,

Stefan

Hallo! Die Unterstützung von Passkey war nur ein Schritt um die Authentifizierung zu verbessern. Da TOTP auch zur Absicherung beim Recovery dient können wir es nicht einfach entferenen sondern müssen es hier durch eine andere Methode ersetzen. Wir sind aber weiter dran das zu vereinfachen.

Danke für die Erinnerung, wird noch geändert.

Hallo! Danke für den Hinweis, der "Change account" Link ist bei einem "Session refresh required" nicht sinnvoll, deshalb müssen wir ihn für diesen Fall entfernen.

Grüße,

Stefan

Hi, hier ein Update zu den Möglichkeiten der Authentifizierung auf der eos-Platform:

Es steht nun auch "Passkey" zu Verfügung und gilt als als die "empfohlene" Authentifizierungsmethode.

Passkey soll die alte Methode "WebAuthN" ablösen, dehalb kann man sich zwar weiterhin mit seinen bereits eingerichteten WebAuthN bzw. Security Keys einloggen, neue WebAuthN keys können aber nicht mehr eingerichtet werden. Bestehende User können über die Account-Settings einen neuen Passkey einrichten.

Benutzern, die sich neu registrieren steht nur mehr die Methode Passkey (oder Passwort) zur Verfügung.

Der zweite Faktor TOTP ist vorerst weiterhin verpflichtend.

Grüße,

Stefan

Die Liste ist nun alphabetisch sortiert.

Grüße,

Stefan

Der Fehler wurde inzwischen behoben.

Grüße,

Stefan

Das Problem wurde inzwischen mit dem User direkt gelöst.

Hi! Danke für den Fehlerbericht! Wird behoben.

Grüße,

Stefan

Danke für den Hinweis, hier fehlt noch eine translation. Werden wir behben.

Grüße,

Stefan

Hi! Danke, hier fehlt bei einigen Action-Names noch der Zusatz um welches Objekt es sich handelt, also z.B. "Realm Client credential added" anstatt nur "Client credential added". Wir werden die Namen noch überarbeiten.

Danke,

Stefan

Hi! Danke für den Fehlerbericht. Das wurde inzwischen behoben. Der Link führt nun auf die Realm-Liste der jeweiligen Organisation.

Grüße,

Stefan

Hi! Danke für den Fehlerbericht, hier arbeiten wir bereits an einer Verbesserung.

Grüße,

Stefan

Hi! Danke, haben wir als Verbesserungsvorschlag aufgenommen.

Grüße,

Stefan

Hi, danke, haben wir als Verbesserungsvorschlag aufgenommen.

Grüße,
Stefan

Hallo! Sorry für die späte Rückmeldung. Dieser Fehler wurde inzwischen behoben.

Grüße,

Stefan