So richten Sie den zweiten Faktor ein oder setzen ihn zurück
Der zweite Faktor ist ein sechsstelliger Code aus einer Authenticator-App (etwa Microsoft Authenticator), der sich alle 30 Sekunden ändert. Ein Schlüssel allein genügt dann nicht mehr: Wer ihn abfängt, kommt ohne das Telefon der Person nicht an die Daten. Wann der Code verlangt wird, legt die Anmelderichtlinie fest; ein neuer Dienst verlangt ihn für die Verwaltung.
Lösungsübersicht
Meist richtet die Person den Faktor selbst ein: Meldet sie sich zum ersten Mal mit einem neuen
Schlüssel an, zeigt die Verwaltungsanwendung statt der Code-Abfrage die Karte Zweiten Faktor
einrichten mit einem QR-Code. Das geht innerhalb von 24 Stunden nach dem Ausstellen des
Schlüssels (Einstellung totp_enrol_hours). Wer sich nur mit Windows-Konto oder SQL-Anmeldung
anmeldet, hat keinen Schlüssel und damit keine solche Frist.
Für diese Personen und für alle, deren Frist abgelaufen ist, richten Sie den Faktor in der Verwaltung ein: Sie erhalten einen Einmal-Link, die Person öffnet ihn und nimmt den QR-Code in ihre App auf. Verliert die Person ihr Telefon, entfernen Sie den Faktor oder richten ihn neu ein.
Umsetzung
Einrichten
- Öffnen Sie Personen und Schlüssel und markieren Sie die Person.
- Wählen Sie in der Befehlsleiste Zweiten Faktor (neu) einrichten … aus, oder im Kontextmenü der Zeile (rechte Maustaste) Zweiter Faktor und Sitzung > Zweiten Faktor (neu) einrichten ….
- Die Meldung Zweiter Faktor eingerichtet zeigt einen Einmal-Link. Geben Sie ihn der Person.
Die Person öffnet den Link, wählt die Schaltfläche aus und scannt den QR-Code mit ihrer Authenticator-App. Wer nicht scannen kann, gibt den darunter stehenden Schlüssel von Hand ein. Die App führt den Eintrag unter dem Namen der Installation und dem Namen der Person, etwa „Datendienst (Produktion): Erika Muster“.
- Bei ihrer nächsten Anmeldung gibt die Person den ersten Code ein.
Ergebnis: Die Spalte Zweiter Faktor zeigt „eingerichtet (unbestätigt)“ und nach dem ersten angenommenen Code „aktiv“; Bestätigt nennt den Zeitpunkt.
Im Bild: (1) Zustand des zweiten Faktors.
Neu einrichten (Telefon verloren, App gewechselt)
- Klicken Sie die Person mit der rechten Maustaste an und wählen Sie Zweiten Faktor (neu) einrichten … aus.
- Bestätigen Sie die Frage. Der Dienst ersetzt den Faktor und beendet alle Sitzungen der Person; die Meldung zeigt den Einmal-Link für den neuen Faktor.
Soll die Person vorerst gar keinen Faktor haben, wählen Sie Zweiten Faktor entfernen.
<a id=„name-der-installation“></a>Name der Installation ändern
Den Namen schlägt das Installationsprogramm vor. Um ihn zu ändern, öffnen Sie Anmelderichtlinie, Register Einstellungen, und tragen ihn im Feld Name der Installation ein (höchstens 64 Zeichen, ohne Doppelpunkt und Anführungszeichen); dann Speichern. Der Dienst übernimmt ihn ohne Neustart. Er gilt für jeden zweiten Faktor, der danach eingerichtet wird; ein Eintrag, der schon in einer App steht, behält seinen Namen, bis die Person den Faktor neu einrichtet. Das Feld geht dem Namen aus der Installation vor: Wer es leert, bekommt wieder diesen Namen.
Hinweise
- Verfahren: TOTP nach RFC 6238 („TOTP: Time-Based One-Time Password Algorithm“, https://www.rfc-editor.org/rfc/rfc6238) mit den Parametern, die jede gängige App ohne Einstellung beherrscht: HMAC-SHA-1, 6 Stellen, Zeitschritt 30 Sekunden. App und Dienst teilen dafür ein Geheimnis; der Code beweist, dass die Person das Gerät mit diesem Geheimnis in der Hand hat.
- Neu einrichten ersetzt: „Zweiten Faktor (neu) einrichten …“ fragt bei einer Person, die schon einen Faktor hat, nach, ersetzt ihn und beendet ihre Sitzungen. Der alte Eintrag in der App liefert danach nur noch falsche Codes.
- Der Faktor gehört der Person. Für eine Anmeldung mit dem Windows-Konto findet der Dienst die Person über ihr Feld Windows-Konto. Eine Gruppe ist keine Person: Wer sich mit Windows anmeldet und keiner Person zugeordnet ist, kann keinen Code liefern und wird abgewiesen, sobald einer verlangt wird.
- Sitzung: Ein angenommener Code eröffnet eine Sitzung, standardmäßig für 10 Stunden (Einstellung
totp_session_hours, 1 bis 168). Laufende Sitzungen sehen und beenden Sie unter Protokoll und Sitzungen. - Zu viele falsche Codes: Nach fünf falschen Codes einer Person oder zwanzig von derselben Herkunft in 15 Minuten nimmt der Dienst bis zu 15 Minuten lang keinen Code an (
429), auch keinen richtigen. Die zweite Grenze bremst das Durchprobieren über viele Personen von einem Rechner aus. - Zeitabweichung: Der Dienst nimmt außer dem Code des aktuellen Zeitschritts auch den des Schritts davor und des Schritts danach an (HTTP: Anmeldung (Referenz), Abschnitt „Anmelderichtlinie und zweiter Faktor“ (Dokumentation des Datendienstes)). RFC 6238, Abschnitt 6, empfiehlt, wegen der Übertragungsverzögerung höchstens einen Zeitschritt zusätzlich zuzulassen. Wie viel Abweichung der Uhr das erlaubt, hängt davon ab, wo im 30-Sekunden-Schritt die Anmeldung liegt: Sicher sind bis zu 30 Sekunden, darüber werden Codes zunehmend abgewiesen. Abhilfe schafft die automatische Uhrzeit des Telefons.
- Die Selbsteinrichtung ist ein Zeitfenster mit Risiko: Bis die Person den Faktor eingerichtet hat, genügt ihr erster Faktor, um ihn einzurichten. Der Dienst kann nicht unterscheiden, ob das die Person ist oder jemand mit ihrem Schlüssel. Wer den Schlüssel abfängt und sich zuerst anmeldet, bindet den zweiten Faktor an sein eigenes Gerät. Das Fenster ist deshalb begrenzt (
totp_enrol_hours, Vorgabe 24 Stunden ab dem Ausstellen), und in dieser Zeit gilt der erste Faktor nur für die Einrichtung, nicht für Daten oder Verwaltung. Wo das Risiko nicht tragbar ist, etwa bei Administratoren, richten Sie den Faktor selbst per Einmal-Link ein und übergeben Schlüssel und Link auf getrennten Wegen. Meldet eine Person, dass ihre App keinen Eintrag hat, die Spalte aber „aktiv“ zeigt, richten Sie den Faktor sofort neu ein.
Verwandte Themen
- Referenz: HTTP: Anmeldung (Referenz), Abschnitt „Anmelderichtlinie und zweiter Faktor“ (Dokumentation des Datendienstes)