Nastavitev ali ponastavitev 2FA

Pri drugem faktorju (2FA) oseba poleg ključa ali računa vnese še šestmestno kodo iz aplikacije za preverjanje pristnosti (na primer Microsoft Authenticator), ki se spreminja vsakih 30 sekund. Ključ sam torej ne zadošča več: kdor ga prestreže, brez telefona osebe ne pride do podatkov. Kdaj se koda zahteva, določa pravilnik za prijavo; nova namestitev prehoda jo zahteva za upravljanje.

Večinoma si oseba 2FA nastavi sama: ko se prvič prijavi z novim ključem, ji aplikacija za upravljanje namesto vnosa kode prikaže kartico Zweiten Faktor einrichten (Nastavi 2FA) s kodo QR. To je mogoče v 24 urah po izdaji ključa (nastavitev totp_enrol_hours). Kdor se prijavlja samo z računom Windows ali s prijavo SQL, ključa nima, zato zanj tega roka ni.

Takim osebam in vsem, ki jim je rok potekel, 2FA nastavite v aplikaciji za upravljanje: dobite enkratno povezavo, oseba jo odpre in kodo QR doda v svojo aplikacijo za preverjanje pristnosti. Če oseba izgubi telefon, 2FA odstranite ali nastavite znova.

Nastavitev

1. Odprite Personen und Schlüssel (Osebe in ključi) in označite osebo.
2. V ukazni vrstici izberite Zweiten Faktor (neu) einrichten … (Nastavi 2FA (znova) …) ali v priročnem meniju vrstice (desni gumb miške) Zweiter Faktor und Sitzung (2FA in seja) > Zweiten Faktor (neu) einrichten ….
3. Sporočilo Zweiter Faktor eingerichtet (Nastavitev 2FA opravljena) prikaže enkratno povezavo. Posredujte jo osebi.

4. Oseba odpre povezavo, klikne gumb in z aplikacijo za preverjanje pristnosti skenira kodo QR. Če skeniranje ne uspe, ročno vnese ključ, ki je izpisan pod kodo. Aplikacija vnos prikaže z imenom namestitve in imenom osebe, na primer „Podatkovni prehod (produkcija): Ana Novak“.

   

5. Ob naslednji prijavi oseba vnese prvo kodo.

Rezultat: Stolpec Zweiter Faktor (2FA) prikazuje „eingerichtet (unbestätigt)“ (nastavitev opravljena, ni potrjena), po prvi sprejeti kodi pa „aktiv“ (v uporabi). Bestätigt (Potrjeno) navede čas potrditve.

Na sliki: (1) stanje 2FA.

Ponovna nastavitev (izgubljen telefon, nova aplikacija)

1. Z desnim gumbom miške kliknite osebo in izberite Zweiten Faktor (neu) einrichten ….
2. Potrdite vprašanje. Prehod pripravi novo nastavitev 2FA, dosedanjo razveljavi in konča vse seje osebe; sporočilo prikaže enkratno povezavo za novo nastavitev.

Če oseba 2FA zaenkrat sploh ne sme uporabljati, izberite Zweiten Faktor entfernen (Odstrani 2FA).

<a id=„name-der-installation“></a>Sprememba imena namestitve

Ime predlaga namestitveni program. Če ga želite spremeniti, odprite Anmelderichtlinie (Pravilnik za prijavo), zavihek Einstellungen (Nastavitve), ime vnesite v polje Name der Installation (Ime namestitve) (največ 64 znakov, brez dvopičja in narekovajev) in izberite Speichern (Shrani). Prehod spremembo upošteva brez ponovnega zagona. Novo ime velja za vsako nastavitev 2FA po spremembi; vnos, ki je že v aplikaciji za preverjanje pristnosti, obdrži staro ime, dokler oseba 2FA ne nastavi znova. Vrednost polja ima prednost pred imenom iz namestitve; če polje izpraznite, znova velja ime iz namestitve.

• Postopek: Uporabljen je postopek TOTP po RFC 6238 („TOTP: Time-Based One-Time Password Algorithm“, https://www.rfc-editor.org/rfc/rfc6238) s parametri, ki jih vsaka običajna aplikacija podpira brez dodatnih nastavitev: HMAC-SHA-1, 6 števk in časovni korak 30 sekund. Aplikacija in prehod hranita iste podatke, iz katerih izračunata kodo; pravilna koda dokazuje, da ima oseba napravo s temi podatki.
• Ponovna nastavitev razveljavi dosedanjo. Če je oseba 2FA že nastavila, ukaz Zweiten Faktor (neu) einrichten … najprej zahteva potrditev, nato dosedanjo nastavitev razveljavi in konča seje osebe. Stari vnos v aplikaciji za preverjanje pristnosti nato daje samo še napačne kode.
• 2FA se nastavi za osebo. Pri prijavi z računom Windows prehod osebo poišče po polju Windows-Konto (Račun Windows). Skupina ni oseba: kdor se prijavi z računom Windows, ki ni povezan z nobeno osebo, kode ne more vnesti in je zavrnjen, kadar koli se koda zahteva.
• Seja: Sprejeta koda odpre sejo, ki privzeto traja 10 ur (nastavitev totp_session_hours, od 1 do 168). Aktivne seje si ogledate in jih končate, kot je opisano na strani Branje dnevnika in sej.
• Preveč napačnih kod: Po petih napačnih kodah ene osebe ali dvajsetih z istega izvora v 15 minutah prehod do 15 minut ne sprejme nobene kode (429), tudi pravilne ne. Druga meja preprečuje, da bi kdo z enega računalnika poskušal kode za veliko oseb.
• Odstopanje ure: Prehod poleg kode trenutnega časovnega koraka sprejme tudi kodo prejšnjega in naslednjega koraka (HTTP: prijava, razdelek „Pravilnik prijave in 2FA“ (dokumentacija podatkovnega prehoda)). RFC 6238 v razdelku 6 priporoča, naj se zaradi zakasnitve prenosa dovoli največ en dodatni časovni korak. Koliko odstopanja ure to dopušča, je odvisno od trenutka prijave znotraj 30-sekundnega koraka: do 30 sekund je vedno brez težav, pri večjem odstopanju pa je zavrnjenih vse več kod. Rešitev je samodejna nastavitev časa na telefonu.
• Samostojna nastavitev pomeni časovno okno s tveganjem: Dokler oseba 2FA ne nastavi, za nastavitev zadošča njen prvi faktor, prehod pa ne more ločiti, ali ga uporablja oseba sama ali nekdo z njenim ključem. Kdor ključ prestreže in se prvi prijavi, 2FA veže na svojo napravo. Zato je okno časovno omejeno (totp_enrol_hours, privzeto 24 ur od izdaje ključa), prvi faktor pa v tem času velja samo za nastavitev, ne za dostop do podatkov ali upravljanja. Kjer tako tveganje ni sprejemljivo, na primer pri skrbnikih, 2FA nastavite sami prek enkratne povezave, ključ in povezavo pa predajte po ločenih poteh. Če oseba sporoči, da v njeni aplikaciji ni vnosa, stolpec pa kaže „aktiv“, 2FA takoj nastavite znova.

• Določanje pravilnika za prijavo
• Prijava v aplikacijo za upravljanje
• Referenčni priročnik: HTTP: prijava, razdelek „Pravilnik prijave in 2FA“ (dokumentacija podatkovnega prehoda)